Vultisig, разработчик мультиподписного криптокошелька, сообщает, что обновление, выпущенное в августе 2025 года, устранило уязвимость приватных ключей в его программном обеспечении. Компания публично не раскрыла, какие версии были затронуты, какие условия могли вызвать уязвимость и были ли скомпрометированы средства пользователей до выпуска исправления.

По данным CryptoSlate, речь идет о критической утечке приватных ключей, которую заблокировали августовские обновления. Ставки в этой категории необычайно высоки: приватный ключ выполняет роль мастер-пароля любого криптокошелька, и тот, кто им владеет, полностью контролирует средства кошелька, что делает этот тип уязвимостей одним из самых серьезных для поставщика кошелька.

Помимо того, что Vultisig связала устранение проблемы с обновлениями, выпущенными в августе, компания не опубликовала официальное предупреждение о безопасности. На момент написания статьи отсутствуют идентификатор CVE, диапазон затронутых версий и технический отчет, подтверждающий объем исправления. Идентификаторы CVE — это стандартизированная система, используемая в индустрии ПО для каталогизации публично раскрытых уязвимостей, дающая пользователям и командам безопасности общую точку отсчета для проверки того, затронута ли их собственная установка.

Почему уязвимость приватных ключей — это серьезно

Приватный ключ — это длинная строка символов, генерируемая при создании криптокошелька. Его можно сравнить с кодом от сейфа: любой, кто его знает, может открыть сейф и забрать все содержимое. В худшем случае уязвимость, приводящая к утечке или раскрытию приватных ключей, может позволить злоумышленнику опустошить кошелек без каких-либо ошибочных действий со стороны владельца.

Vultisig построена технологии многосторонних вычислений (MPC), при которой ни одно устройство никогда не хранит полный приватный ключ. Вместо этого ключ разделяется на «доли» между несколькими устройствами, что снижает риск раскрытия полного ключа из-за единой точки отказа. Уязвимость в такой системе может быть связана с ненадлежащей обработкой долей ключа во время операции подписания, хотя Vultisig не подтвердила конкретный механизм в публичных раскрытиях, изученных для этой статьи.

Подобные уязвимости кошельков не уникальны для Vultisig. Ранее в этом году Electrum исправила уязвимость, позволявшую вредоносным серверам способствовать краже Bitcoin, а взлом торгового бота Solana привел к выводу почти $1 миллиона из 49 кошельков после того, как злоумышленники обнаружили слабость в хранении приватных ключей. Общая черта этих инцидентов — обработка материала приватных ключей, то есть компонент кошелька, где дефект наиболее напрямую приводит к потере средств пользователей.

Что пользователям Vultisig следует сделать сейчас

Для пользователей Vultisig важнейший шаг — убедиться, что используется последняя версия приложения. Обновления следует получать из магазина приложений или с официального сайта Vultisig — никогда со сторонних сайтов, неофициальных магазинов приложений или по ссылкам в сообщениях в социальных сетях.

Пользователям также следует изучить официальные примечания к релизам Vultisig или любые коммуникации по безопасности, опубликованные на его сайте или в подтвержденных социальных каналах. Ожидается, что эти документы укажут, какие версии содержали уязвимость, и подтвердят, какая сборка включает исправление. Если такую информацию найти не удается, пользователям следует обратиться в поддержку Vultisig напрямую через официальные каналы, прежде чем считать свою установку безопасной.

Общее правило: никогда не делитесь фразой восстановления или любым материалом приватных ключей ни с кем, включая людей, утверждающих, что они из команды Vultisig. Легитимные поставщики кошельков никогда не запрашивают такую информацию. Тот, кто обращается к пользователю по поводу срочной проблемы безопасности и запрашивает seed-фразу, занимается мошенничеством, а не поддержкой.

Для более широкого контекста о распространении инфраструктурных уязвимостей: утечка в облаке GMO Trading, подвергшая риску более 26 000 серверов, напоминает, что поверхности атаки выходят за пределы самого приложения кошелька.

Что остается неясным

Несколько существенных деталей пока не подтверждены в публичных раскрытиях. Vultisig не сообщила, какие именно номера версий уязвимы, требовалось ли для срабатывания уязвимости определенное действие пользователя и были ли какие-либо кошелькиexploited до выпуска патча. Компания также не сказала, была ли уязвимость обнаружена внутри или сообщена внешним исследователем безопасности.

Далее стоит ожидать официального предупреждения о безопасности с присвоенным CVE, публикации диапазона затронутых версий и заявления о том, были ли затронуты какие-либо кошельки. Пока Vultisig не опубликует официальное предупреждение о безопасности, пользователям следует считать августовское обновление обязательным, а не необязательным, и как можно скорее проверить статус своей установки.

Отказ от ответственности: эта статья носит исключительно информационный характер и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов связаны со значительным риском. Всегда проводите собственное исследование перед принятием решений.