Согласно новому анализу безопасности, посвящённому тому, как некоторые кошельки создают секретные слова, защищающие средства пользователей, слабо сгенерированные фразы восстановления кошельков были связаны с потерями в криптовалютах на сумму не менее 5,69 млн долларов. Фраза восстановления — это список слов, позволяющий восстановить криптокошелёк, и если эти слова слишком предсказуемы, злоумышленники могут их угадать и опустошить счёт.

КЛЮЧЕВЫЕ ВЫВОДЫ

• Слабо сгенерированные фразы восстановления были связаны с кражей криптовалюты на сумму не менее 5,69 млн долларов.
• Причиной потерь стал способ создания фраз, а не фишинг, неудачные сделки или взлом биржи.
• Предсказуемая генерация фраз сокращает количество попыток, необходимых злоумышленнику, подвергая риску кошельки с самостоятельным хранением.

Как слабые фразы восстановления оказались связаны с заявленными потерями

Специалисты по безопасности из Coinspect связали примерно 5,69 млн долларов криптовалютных потерь с фразами восстановления кошельков, которые были сгенерированы слабым, предсказуемым образом. Со связанным освещением можно ознакомиться в материале Cleveland Fed: 12-месячный рост Bitcoin привлекает новых криптоинвесторов.

Это исследование в области безопасности, а не история о рыночных колебаниях. Данный аспект важен, поскольку средства были потеряны даже в период, когда цены двигались по не связанным с этим причинам, в отличие от масштабных распродаж — например, когда Bitcoin опустился ниже 79 000 долларов. Со связанным освещением можно ознакомиться в материале Следующая криптовалюта на взлёт? Ethereum и AVAX задают темп, пока открылось окно покупок этапа 1 IceBull.

Потери были связаны именно со способом создания фраз. В материалах об исследовании отмечалось, что пострадавшие пользователи потеряли деньги из-за чрезмерной предсказуемости сидов их кошельков, а не из-за обычной торговой активности.

Почему слабая генерация фраз создаёт прямой путь для атаки

Безопасная фраза восстановления должна быть случайной — как слова, вытянутые вслепую из огромного мешка. Слабая генерация — полная противоположность: слова следуют шаблону, который компьютер способен воспроизвести.

Предсказуемость сужает «пространство поиска» — то есть количество комбинаций, которые злоумышленнику необходимо перепробовать. Когда фразы порождаются неисправным генератором случайных чисел, это пространство сжимается с астрономически большого до такого, которое злоумышленник способен взломать методом перебора.

Расследователи связали часть проблемы со слабой случайностью в широко используемой библиотеке crypto-js, чья ошибочная генерация могла подорвать безопасность кошельков с самостоятельным хранением.

Это сбой безопасности кошелька, а не просто ошибка пользователя. Опасность в том, что средства могут быть скомпрометированы без клика по фишинговой ссылке и без взлома биржи — просто потому, что саму фразу можно было угадать, как подробно описано в материалах об уязвимости, связанной со слабой случайностью.

Что это означает для пользователей кошельков и криптоиндустрии в целом

Для обычных держателей урок заключается в том, что самостоятельное хранение надёжно ровно настолько, насколько надёжен инструмент, сгенерировавший вашу фразу. Если вы храните криптовалюту в кошельке, который контролируете сами, этап настройки программного обеспечения так же важен, как ваш пароль, поскольку фраза восстановления остаётся последним способом доступа при утере или замене устройства.

Пользователи полностью зависят от программного обеспечения кошелька при создании надёжных материалов восстановления во время настройки. Когда этот процесс несовершенен, средства могут потерять даже осторожные люди, что подтачивает доверие к безопасности кошельков и усиливает давление на разработчиков, требуя доказательств того, что их продукты генерируют истинную случайность.

Для разработчиков этот инцидент стал стимулом провести аудит того, как кошельки создают фразы, и придерживаться более строгих стандартов безопасности. Он также произошёл на фоне более пристального внимания к отрасли — от меняющихся правил SEC в отношении продажи токенов до новых проектов, таких как криптобанк World Liberty.

Практический вывод: это была предотвратимая уязвимость, повлёкшая реальные финансовые потери. Если вы пользуетесь кошельком с самостоятельным хранением, отдавайте предпочтение хорошо зарекомендовавшему, прошедшему аудит программному обеспечению и считайте способ генерации вашей фразы восстановления ключевой частью обеспечения безопасности ваших криптоактивов.

Отказ от ответственности: эта статья носит исключительно информационный характер и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов сопряжены со значительными рисками. Всегда проводите собственное исследование перед принятием решений.