Безопасность аппаратных кошельков

Кто сейчас, находясь не глубоко в крипте, смотрит на нас и не думает, что это полный цирк? Люди хранят сбережения всей жизни на флешке. Скажу прямо: как проблема восприятия это абсолютно реально, и отмахиваться от неё бессмысленно. Со стороны история читается именно так — самостоятельное хранение, баг в прошивке, деньги ушли, никто не отвечает. Но рамка слишком мягко обходится с альтернативой. Традиционные финансы теряют клиентские деньги регулярно: SVB, банки-партнёры FTX, любой банковский набег в истории. Разница не в том, что там не теряют. Разница в том, что там убыток социализируется — через FDIC, через государственную поддержку, через размазывание по всей системе, — а не приземляется на конкретного человека, который сам держал ключ. Именно поэтому со стороны и выглядит по-разному. Когда рушится банк, вы читаете об этом в новостях как о системном событии. Когда человек теряет монеты из-за бага энтропии, вы читаете об этом как о его личной глупости. Честная версия этой критики звучит не «self-custody — это цирк». Она звучит так: self-custody переносит системный риск на отдельных людей, у которых в большинстве своём нет экспертизы, чтобы этот риск аудировать. Это настоящая проблема, и она не решается ни высмеиванием, ни защитными постами про свободу протокола. Решается она скучно: независимыми аудитами имплементаций, публичной историей проверок у каждого вендора и честным разговором о том, кому эта модель хранения реально подходит, а кому нет. Всё остальное — просто спор о том, чей цирк смешнее.

Ончейн-метрики вокруг инцидента с Coldcard подчёркивают, насколько self-custody важен для устойчивости биткоина как класса активов. За пару дней вокруг взлома: украдено 2,1 тысячи BTC, 22 тысячи ушли на биржи, 233 тысячи вышли из кошельков долгосрочных держателей. Сначала уточню цифру кражи, потому что она здесь завышена. Galaxy Research отслеживает 1 367,05 BTC (около $88,6 млн) через 4 585 адресов, а первая волна 30 июля — 1 082,65 BTC за 41 минуту с 1 196 адресов. Оценки в прессе колеблются в диапазоне $89–130 млн. Цифра «2,1k BTC» выше любой подтверждённой оценки, которую я нахожу — вероятно, в неё включены подозреваемые, но не подтверждённые списания. Это не придирка. В инциденте такого масштаба точность цифры кражи определяет, какой вывод из него сделает индустрия, и завышение здесь работает против самого тезиса о self-custody. Потому что две другие цифры куда интереснее украденной суммы. 233 тысячи BTC, вышедшие из кошельков долгосрочных держателей, — это примерно в 170 раз больше, чем реально украли. Вот настоящая метрика произошедшего: не размер потерь, а масштаб превентивной миграции, которую эти потери спровоцировали. И только 22 тысячи из этих 233 ушли на биржи. Остальное — перемещение между собственными кошельками. Соотношение примерно один к десяти в пользу того, что люди чинили гигиену хранения, а не отказывались от него. Это и есть ответ на вопрос, под угрозой ли self-custody после инцидента. Под угрозой оказалась конкретная реализация конкретного вендора. Сама модель хранения показала ровно то поведение, которого от неё ждут: пользователи среагировали сами, без чьего-либо разрешения, за считанные дни.

Процесс разработки Coldcard был по-настоящему ниже стандарта, и простое извинение этого не покрывает. Прочитайте свежий выпуск Bitcoin Strategy про то, что произошло и как защититься. 'Ниже стандарта' — справедливая формулировка, но только когда знаешь конкретику: баг просидел в продакшн-коде пять лет, не будучи пойманным ни внутренним ревью, ни внешним аудитом, ни открытым сообществом, которое теоретически могло читать исходники всё это время. Открытый код создал возможность найти проблему. Он не создал механизм, который бы гарантировал, что кто-то этой возможностью воспользуется вовремя. Извинение закрывает эмоциональную часть истории — люди хотят услышать, что компания понимает тяжесть произошедшего. Но оно не отвечает на единственный вопрос, который на самом деле имеет значение для будущего: что конкретно меняется в процессе аудита, чтобы такой класс уязвимостей не повторился снова, в этом же продукте или в следующем. Я не жду, что у Coinkite уже есть готовый ответ — пять дней на полный пересмотр процесса это мало. Но я жду, что этот ответ появится публично, с конкретикой, а не растворится в общем облегчении от того, что худшее позади. Вопрос, который стоит держать открытым до тех пор: изменится ли реально процесс, или все просто подождут, пока об этом забудут?

Последние сутки половина крипто-твиттера синхронно переводит монеты с Coldcard на биржевые счета «на всякий случай», и почти никто не задаёт себе простой вопрос: а что именно это решает? Я управляю биржей. Мне выгоднее всех, чтобы вы прямо сейчас занесли BTC на Gemini и больше не думали о самостоятельном хранении. И именно поэтому скажу честно: это неправильный ход в текущей ситуации, даже если он сыграет мне на руку в моменте. Разберёмся, что реально произошло. С 1 марта 2021 года прошивка Coldcard генерировала seed-фразы через программный PRNG вместо аппаратного TRNG — Mk3 получал около 40 бит энтропии вместо положенных 128, Mk4/5/Q чуть лучше, около 72 бит. 31 июля кто-то это заметил и воспользовался: за 25 минут, с 01:31 до 01:56 UTC, примерно с 500 single-sig кошельков вывели около 594 BTC — это порядка $38 млн. Цифры подтверждены KuCoin, Bitcoin Magazine, TechTimes и CryptoTimes, это не слух с Reddit. Теперь к тому, что действительно важно. Уязвимость вероятностная — она реализуется только если конкретно ваш seed попал в тот самый слабый keyspace, который реально успели перебрать за пять лет. Перевод средств на биржу «пока всё не уляжется» меняет эту вероятностную угрозу на гарантированный контрагентский риск: с этого момента ваши монеты — это запись в чужой базе данных, а не ваш собственный ключ. Вы не снижаете риск, вы меняете его тип — причём вероятностный риск на риск, который наступает с вероятностью 100% каждый день, пока монеты лежат у меня, а не у вас. Правильный ход прямо в бюллетене Foundation Devices: сам факт обновления прошивки НЕ исправляет уже сгенерированный слабый seed. Нужно сгенерировать новый seed на обновлённой прошивке и перевести туда средства с нуля. Это чуть больше возни, чем нажать «вывести на Gemini», но это единственное действие, которое реально закрывает конкретную уязвимость, а не просто перекладывает деньги в другое место, где решать за вас буду уже не вы. Я тридцать с лишним лет верю в self-custody не как в лозунг, а как в дисциплину — примерно ту же, которую нам с братом вбивали в академической гребле: короткий путь никогда не бывает правильным, если он пропускает саму работу. Паническая миграция на биржу — это как раз короткий путь, который пропускает работу. Если у вас Coldcard Mk3, Mk4, Mk5 или Q — проверьте свою прошивку прямо сегодня, а не когда «будет время». А если уже перевели монеты на биржу от испуга — спросите себя честно: вы делаете это ради безопасности или ради того, чтобы прекратить тревожиться прямо сейчас? Это не одно и то же.

nvk (основатель Coinkite) написал прямым текстом: «никаких обращений в саппорт или по безопасности к нам по этому поводу, только слухи и бардак на Reddit». darosior в ответ призвал: если вас это затронуло — напишите на почту Coinkite, это поможет найти причину и либо подтвердить баг, либо остановить панику тех, кто по ошибке двигает монеты не по делу. Я согласен с ним и хочу назвать вещи своими именами. Разрыв между «сотни миллионов долларов предполагаемого ущерба, обсуждаемого публично» и «ноль писем производителю» — это само по себе информация, и довольно неудобная. Он означает одно из двух: либо пострадавшие пользователи не осознают, что Coldcard — это общий знаменатель их потерь, либо они сознательно идут в публичные треды и Reddit вместо прямого канала к производителю. Оба варианта задерживают подтверждение первопричины, и оба — не про технологию, а про то, как устроена координация в кризис. Скоординированное раскрытие уязвимости работает только тогда, когда используется реальный канал связи, а не когда каждый постит скриншот в своей ленте и ждёт, что кто-то другой соберёт картину целиком. Прямо сейчас это разворачивается полностью публично — это ускоряет осведомлённость (все узнали за часы, а не за недели), но замедляет верифицированное исправление (Coinkite физически не может подтвердить масштаб и векторы атаки, если единственный источник — разрозненные посты). Нейтральность протокола и дисциплина раскрытия — на первый взгляд разные темы, но принцип один: система работает правильно только когда все следуют одному и тому же каналу коммуникации, а не когда каждый выбирает удобный ему лично. Публичная паника и молчание в адрес производителя — это не два независимых явления, это одно и то же нарушение дисциплины, проявленное в двух местах сразу. Если у вас Coldcard любой модели и вы подозреваете, что затронуты, — напишите в Coinkite напрямую, прежде чем писать очередной тред. Расследование двигают факты, переданные по адресу, а не количество ретвитов.

Под угрозой ли self-custody биткоина после эксплойта Coldcard? CTO Casa делится мудростью: свобода протокола означает, что люди могут выбрать любую модель безопасности, какую хотят. Могут выбрать удобство. Могут выбрать безопасность. Верно как принцип протокола. Но как практический совет пользователю — рамка занижает важную часть картины. Большинство людей, покупая аппаратный кошелёк, уже думают, что выбрали безопасность. Они не выбирают между 'удобство' и 'безопасность' осознанно каждый раз — они один раз выбрали 'безопасность' в момент покупки устройства и дальше живут с этим решением, не пересматривая его. Реальная зависимость здесь не 'кастодиальность против self-custody'. Это зависимость от качества имплементации конкретного вендора, которую сам пользователь аудировать не может. Генерация энтропии, обработка seed-фразы, прошивка — всё это скрыто внутри устройства, и пользователь физически не в состоянии это проверить сам, сколько бы он ни 'выбирал безопасность' на словах. Так что дилемма на самом деле двухуровневая, а не одноуровневая: сначала — кастодиальное хранение или self-custody, и это действительно ваш выбор. Потом, если выбрали self-custody — какому именно вендору вы доверяете имплементацию, и это выбор, который вы делаете вслепую, основываясь на репутации, а не на собственной проверке кода. Именно второй уровень выбора обычно и подводит людей, а не первый.

Технический разбор того, что произошло, вы уже наверняка видели: с 1 марта 2021 года прошивка Coldcard использовала programmatic PRNG вместо аппаратного TRNG для генерации seed-фраз, Mk3 получал около 40 бит энтропии вместо 128, Mk4/5/Q — около 72. 31 июля кто-то нашёл слабое место и вывел порядка 594 BTC (~$38M) примерно с 500 кошельков за 25 минут. Механика бага уже разобрана детально в нескольких тредах, и я не буду её повторять построчно. Меня в этой истории занимает другая цифра, гораздо менее обсуждаемая, чем сумма украденного: пять лет. Именно столько прошло между тем, как ошибка попала в код, и тем, как её кто-то использовал. Пять лет, за которые прошивку теоретически видели тысячи людей — исходный код Coldcard открыт, это ровно то, чем проект гордится и что рекомендуют все, включая меня, как критерий доверия к аппаратному кошельку. И вот в чём проблема с этим критерием: «открытый код» — это утверждение о возможности проверки, а не о том, что проверка реально произошла. Пять лет никто — ни внутренний ревью команды, ни внешний аудит, ни открытое сообщество, читающее исходники ради собственной безопасности, — не поймал слабость в самом фундаментальном месте, какое только есть у аппаратного кошелька: в источнике случайности для приватного ключа. Заметили её не аудиторы. Заметил её злоумышленник, который её же и эксплуатировал. Это не история про то, что у Coinkite плохая инженерная культура — судя по всему, обычная. Это история про то, что фраза «больше глаз — значит безопаснее» — это утверждение, которое нужно активно проверять фактическим аудитом, а не принимать как данность просто потому, что репозиторий публичный. Открытость создаёт возможность проверки. Она не гарантирует, что кто-то этой возможностью воспользовался вовремя. Вопрос, который я бы задал не про Coldcard, а про весь класс устройств: сколько ещё аппаратных кошельков прямо сейчас несут в себе непроверенный путь генерации энтропии, который никто не аудировал именно потому, что «код же открытый, наверное кто-то уже посмотрел»? Мы это узнаем, скорее всего, тем же способом, что и в этот раз — постфактум.