Vultisig, twórca wielopodpisowego portfela kryptowalutowego, informuje, że aktualizacja wydana w sierpniu 2025 r. usunęła lukę w zabezpieczeniach kluczy prywatnych w swoim oprogramowaniu. Firma nie ujawniła publicznie, które wersje były dotknięte, jakie warunki mogły wywołać lukę ani czy środki jakiegokolwiek użytkownika zostały naruszone przed wydaniem poprawki.

Z raportowania CryptoSlate wynika, że chodzi o krytyczny wyciek kluczy prywatnych, który aktualizacje z sierpnia zablokowały. Waga tego typu zagrożeń jest wyjątkowo wysoka: klucz prywatny pełni funkcję głównego hasła każdego portfela kryptowalutowego, a kto go posiada, ten całkowicie kontroluje środki w portfelu, co czyni tę kategorię luk jedną z najpoważniejszych, przed którymi może stanąć dostawca portfela.

Poza przypisaniem usunięcia problemu aktualizacjom wydanym w sierpniu Vultisig nie opublikował publicznego biuletynu bezpieczeństwa. Na moment pisania tego tekstu nie ma identyfikatora CVE, zakresu dotkniętych wersji ani opracowania technicznego potwierdzającego zakres poprawki. Identyfik CVE to ustandaryzowany system używany w całej branży oprogramowania do katalogowania publicznie ujawnionych luk, zapewniający użytkownikom i zespołom ds. bezpieczeństwa wspólny punkt odniesienia do weryfikacji, czy ich instalacje są dotknięte.

Dlaczego luka w zabezpieczeniach kluczy prywatnych jest poważna

Klucz prywatny to długi ciąg znaków generowany przy tworzeniu portfela kryptowalutowego. Można go porównać do kombinacji sejfu: każdy, kto go zna, może otworzyć sejf i zabrać całą zawartość. W najgorszym przypadku luka ujawniająca lub wystawiająca klucze prywatne mogłaby pozwolić atakującemu opróżnić portfel bez żadnego błędu ze strony właściciela.

Vultisig opiera się na technologii obliczeń wielostronnych (MPC), w której żadne pojedyncze urządzenie nigdy nie przechowuje kompletnego klucza prywatnego. Zamiast tego klucz jest dzielony na „udziały” pomiędzy wiele urządzeń, co zmniejsza ryzyko, że pojedynczy punkt awarii ujawni pełny klucz. Luka w takim systemie mogłaby dotyczyć niewłaściwej obsługi udziałów klucza podczas operacji podpisywania, choć Vultisig nie potwierdził konkretnego mechanizmu w publicznych ujawnieniach przejrzanych na potrzeby tego artykułu.

Luki w zabezpieczeniach portfeli tego rodzaju nie są unikalne dla Vultisig. Wcześniej w tym roku Electrum załatał lukę, która pozwalała złośliwym serwerom ułatwiać kradzież Bitcoina, a hack na bota handlowego Solana opróżnił prawie 1 milion dolarów z 49 portfeli, po tym jak atakujący odkryli słabość w sposobie przechowywania kluczy prywatnych. We wszystkich tych incydentach wspólnym mianownikiem jest obsługa materiału kluczy prywatnych — komponentu oprogramowania portfela, w którym wada najbezpośredniej przekłada się na utratę środków użytkowników.

Co powinni teraz zrobić użytkownicy Vultisig

Dla użytkowników Vultisig najważniejszym krokiem jest upewnienie się, że korzystają z najnowszej wersji aplikacji. Aktualizacje należy pobierać ze sklepu z aplikacjami lub oficjalnej strony Vultisig — nigdy z witryn zewnętrznych, nieicjalnych sklepów z aplikacjami ani z linków przesyłanych w wiadomościach w mediach społecznościowych.

Użytkownicy powinni również zapoznać się z oficjalnymi notkami wydania Vultisig lub wszelkimi komunikatami dotyczącymi bezpieczeństwa opublikowanymi na jego stronie internetowej lub w zweryfikowanych kanałach społecznościowych. Oczekuje się, że dokumenty te wskażą, które wersje zawierały lukę, i potwierdzą, która kompilacja zawiera poprawkę. Jeśli tej informacji nie można znaleźć, użytkownicy powinni skontaktować się z pomocą techniczną Vultisig bezpośrednio przez oficjalne kanały, zanim uznają swoją instalację za bezpieczną.

Zgodnie z ogólną zasadą nigdy nie należy udostępniać nikomu frazy odzyskiwania ani żadnego materiału związanego z kluczami prywatnymi, w tym osobom podającym się za członków zespołu Vultisig. Poważni dostawcy portfeli nigdy o takie informacje nie proszą. Każdy, kto kontaktuje się z użytkownikiem w sprawie pilnego problemu z bezpieczeństwem i prosi o frazę seed, prowadzi oszustwo, a nie pomoc techniczną.

Dla szerszego kontekstu rozprzestrzeniania się luk w infrastrukturze naruszenie bezpieczeństwa chmury GMO Trading, które naraziło ponad 26 000 serwerów na ryzyko, przypomina, że powierzchnie ataku wykraczają poza samą aplikację portfela.

Co pozostaje niejasne

Kilka istotnych szczegółów nie zostało jeszcze potwierdzonych w publicznych ujawnieniach. Vultisig nie podał, które konkretne numery wersji były podatne, czy wywołanie luki wymagało określonej czynności użytkownika ani czy jakiekolwiek portfele zostały wykorzystane przed wydaniem poprawki. Firma nie powiedziała również, czy luka została odkryta wewnętrznie, czy zgłoszona przez zewnętrznego badacza bezpieczeństwa.

Kolejnymi ujawnieniami, których warto się spodziewać, są formalny biuletyn bezpieczeństwa z przypisanym CVE, publikacja zakresu dotkniętych wersji oraz oświadczenie o tym, czy jakiekolwiek portfele ucierpiały. Dopóki Vultisig nie opublikuje formalnego biuletynu bezpieczeństwa, użytkownicy powinni traktować aktualizację z sierpnia jako obowiązkową, a nie opcjonalną, i jak najszybciej zweryfikować status swojej instalacji.

Zastrzeżenie: Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady finansowej ani inwestycyjnej. Rynki kryptowalut i aktywów cyfrowych wiążą się ze znacznym ryzykiem. Zawsze przeprowadzaj włas badania przed podjęciem decyzji.