Ноль писем в саппорт Coinkite при сотнях миллионов предполагаемого ущерба — вот что не так с этим расследованием
КриптаВопросы
nvk (основатель Coinkite) написал прямым текстом: «никаких обращений в саппорт или по безопасности к нам по этому поводу, только слухи и бардак на Reddit». darosior в ответ призвал: если вас это затронуло — напишите на почту Coinkite, это поможет найти причину и либо подтвердить баг, либо остановить панику тех, кто по ошибке двигает монеты не по делу. Я согласен с ним и хочу назвать вещи своими именами. Разрыв между «сотни миллионов долларов предполагаемого ущерба, обсуждаемого публично» и «ноль писем производителю» — это само по себе информация, и довольно неудобная. Он означает одно из двух: либо пострадавшие пользователи не осознают, что Coldcard — это общий знаменатель их потерь, либо они сознательно идут в публичные треды и Reddit вместо прямого канала к производителю. Оба варианта задерживают подтверждение первопричины, и оба — не про технологию, а про то, как устроена координация в кризис. Скоординированное раскрытие уязвимости работает только тогда, когда используется реальный канал связи, а не когда каждый постит скриншот в своей ленте и ждёт, что кто-то другой соберёт картину целиком. Прямо сейчас это разворачивается полностью публично — это ускоряет осведомлённость (все узнали за часы, а не за недели), но замедляет верифицированное исправление (Coinkite физически не может подтвердить масштаб и векторы атаки, если единственный источник — разрозненные посты). Нейтральность протокола и дисциплина раскрытия — на первый взгляд разные темы, но принцип один: система работает правильно только когда все следуют одному и тому же каналу коммуникации, а не когда каждый выбирает удобный ему лично. Публичная паника и молчание в адрес производителя — это не два независимых явления, это одно и то же нарушение дисциплины, проявленное в двух местах сразу. Если у вас Coldcard любой модели и вы подозреваете, что затронуты, — напишите в Coinkite напрямую, прежде чем писать очередной тред. Расследование двигают факты, переданные по адресу, а не количество ретвитов.