Coldcard va Ledger hujumlari apparat hamyonlari xavfsizligi yuzasidan savollarni kuchaytirdi

​Coldcard va Ledger bilan bog‘liq ikkita yirik xavfsizlik hodisasi kriptovalyuta apparat hamyonlariga bo‘lgan ishonchni larzaga soldi. Hujumlar uzoq vaqt Bitcoin’ni saqlashning eng xavfsiz usullaridan biri deb qaralgan qurilmalardagi zaifliklarni fosh qildi. Endilikda Peter Todd, Jack Mallers va boshqa taniqli soha vakillari maxsus apparat hamyonlari o‘z xatarlariga arziydimi yoki muqobil yondashuvlar yaxshiroq himoya taqdim etadimi, degan savolni ko‘tarishmoqda.

2026 yil Bitcoin bilan bog‘liq xavfsizlik hodisalari bo‘yicha tarixdagi eng yomon yil bo‘lishi mumkin. Bu yo‘qotilgan Bitcoin miqdoriga emas, balki yilning eng jiddiy ikki hujumi kriptovalyutani saqlashda uzoq vaqt oltin standart deb qaralgan vosita — apparat hamyonlariga qattiq zarba berganiga bog‘liq. Endi custody bo‘yicha ekspertlar kriptovalyutaga xos apparat umuman kerakmi, deya ochiqchasiga savol bermoqda, boshqalar esa bunday qurilmalarga nisbatan shubhalarini yillar davomida bildirib kelganini ta’kidlamoqda. Albatta, ko‘pchilik apparat hamyonlaridan butunlay voz kechish haddan tashqari keskin choraga aylanishini ham aytmoqda.

Eslatib o‘tamiz, Coinkite yozda 2021 yildan beri mavjud bo‘lgan firmware xatosi ayrim Coldcard qurilmalarida zaif tasodifiylik bilan seed yaratishiga sabab bo‘lganini ma’lum qilgan edi. Bu hujumchilarga private key’larni oflayn tarzda qayta yaratib, mablag‘larni olib chiqish imkonini bergan. Foydalanuvchilar hamyonning eng asosiy vazifasi — tasodifiy maxfiy kalit yaratish —ni bajarishda yagona vendor firmware’iga ishongan, xato yuz berganini esa osonlikcha aniqlay olmagan.

Keyin, shu oyda Ledger hujumchilar haqiqiy qurilmalarni ochib, ularga setup vaqtida recovery phrase’larni ekrandan o‘qiydigan va ularni mobil aloqa orqali yuboradigan maxsus implantlar o‘rnatganini tasdiqladi. Ledger’ning secure chip’i buzilmagan; muammo foydalanuvchi qo‘lidagi qurilma zavoddan o‘zgartirilmagan holda chiqqan aynan o‘sha qurilma ekanini osonlikcha aniqlash imkoni bo‘lmaganida edi.

Uchinchi tomon baholariga ko‘ra, Ledger ta’minot zanjiri hujumi va Coldcard hodisasining har biridagi zarar $100M dan oshgan. Bu mablag‘larni xavfsiz saqlash masalasida kripto makonida nega bunday kuchli xavotir paydo bo‘lganini yaqqol ko‘rsatadi.

Muammo Coldcard va Ledger’dan kengroq

Strike bosh direktori Jack Mallers yaqinda o‘z shousida apparat hamyonlarining bir nechta umumiy kamchiliklarini sanab o‘tdi. "Mening fikrimcha, apparat hamyonlari bozor yoki keng jamoatchilik o‘ylagandan xavfliroq," dedi u. U yana shunday qo‘shimcha qildi: "Qurilma o‘zgartirilmagan holda yetkazilganiga, ya’ni ta’minot zanjiriga juda ko‘p yashirin ishonch bor. Bu jarayonda juda ko‘p tomon ishtirok etadi."

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

Mallers open-source firmware ham ishonchli bo‘lishi uchun yetarlicha ko‘rib chiquvchilar kerakligini ta’kidladi va Coldcard’ning nisbatan kichik hissa qo‘shuvchilar bazasini Bitcoin Core’ning ancha kattaroq bazasi bilan taqqosladi. Uning aytishicha, apparat hamyoni sotib olish vendorlar yoki ularning hamkorlari ma’lumotlar sizib chiqishiga duch kelgan taqdirda, mijozlarning email va yetkazib berish manzillarini ham fosh qilishi mumkin. U avvalgi Ledger mijozlari ma’lumotlari sizib chiqishi hamda yaqinda Trezor’ning yetkazib berish provayderi bilan bog‘liq hodisani misol keltirdi.

"Endi xakerlar qayerda yashashingizni biladi va odamlarga qarshi jismoniy hujumlarni ko‘ryapsiz," dedi u va so‘nggi ikki yil ichida kripto egalari nishonga olingan "$5 wrench" hujumlari ko‘payganini ta’kidladi.

Universal maqsadli apparat va kriptovalyutaga xos qurilmalar

Apparat hamyonlarining ehtimoliy zaif jihati aynan ularni foydali qiladigan xususiyatdir: ular bitta maqsad uchun yaratilgan. Bunday qurilmani sotib olgan har qanday kishi qimmatli private key’larni saqlayotgan bo‘lishi mumkinligini bildiradi va shu sababli qurilmalar ta’minot zanjiri hujumlari uchun jozibador nishonga aylanadi.

Bitcoin Core hissa qo‘shuvchisi Peter Todd shu sababli ulardan uzoq vaqt foydalanmagan. "Men shaxsan apparat hamyonlaridan foydalanmayman," deb yozdi u X’da. "Men anonim sotib olingan universal apparat (masalan, Thinkpad noutbuklari va Raspberry Pi’lar) bilan birgalikda @QubesOS xavfsizligiga tayanaman."

Todd universal apparatni nishonga olish ancha qiyinligini, chunki hujumchi kripto uchun foydalanilayotgan kam sonli qurilmalarga yetib borish uchun juda ko‘p qurilmalarga backdoor o‘rnatishi kerakligini aytdi. "Universal apparat apparat hamyonlariga nisbatan juda katta yaxshilanishdir, chunki hujumchi tor doiradagi foydalanish holatiga hujum qilish uchun ancha ko‘p qurilmalarga backdoor o‘rnatishi kerak," deya qo‘shimcha qildi u. "Ehtimol, har 100 ta noutbuk yoki Raspberry Pi’dan atigi 1 tasida kriptovalyuta saqlanar."

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

Albatta, bu Toddning yangi fikri emas. Aslida, u va boshqalar kamida sakkiz yildan beri shu dalilni ilgari surib kelmoqda. Mallers ham o‘z shousida shunga o‘xshash fikr bildirdi. Bundan tashqari, u oflayn noutbukdagi Bitcoin Core uzoq muddatli holderlar uchun yetarli bo‘lishi mumkinligini, apparat hamyonlari esa muntazam ravishda tranzaksiyalarni imzolashi kerak bo‘lganlar uchun ma’qulroq ekanini aytdi.

Shunga qaramay, Foundation bosh direktori Zach Herbert X’da DIY apparat ham universal yechim emasligi haqida ogohlantirdi. "Amazon sotuvchilari Raspberry Pi’lar va boshqa development board’larni o‘zgartirib, kimdir ulardan Bitcoin yoki kriptovalyuta saqlash uchun foydalanishidan umid qilishlariga qancha vaqt qoldi?" deya so‘radi u.

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

Apparat hamyonlarini qo‘llab-quvvatlovchi dalillar

Hali hamma ham apparat hamyonlaridan voz kechishga tayyor emas. Coinkite o‘zining shaffof korpus dizaynini foydalanuvchilar almashtirilgan komponentlar yoki implantlarni aniqlashi mumkin bo‘lgan vosita sifatida himoya qildi. Ledger esa o‘z hodisasini secure chip yoki operating system’ning ishdan chiqishi emas, balki tarqatish tizimiga qilingan hujum sifatida ta’rifladi. Ledger, shuningdek, kelajakdagi Ledger Atom qurilmasi ta’minot zanjiri hujumida qo‘llangan ekspluatatsiyaning aynan shu turidan himoyalangan bo‘lishini aytdi.

Boshqalar seed’larni qurilmaning tasodifiylik generatoriga ishonish o‘rniga zar tashlash orqali yaratish bilan apparat hamyonlarini xavfsizroq qilish mumkinligini aytmoqda. "Shu sababli o‘zingizning entropiyangizni olib kelish eng xavfsiz va sodda yo‘ldir," deb yozdi Bitcoin Magazine’ning texnik va fikriy muharriri Shinobi X’da.

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

Herbert jismoniy faol tamper detection va ishonchliroq ishlab chiqarishni talab qildi, Todd esa Ledger foydalanishi kerak bo‘lgan yechim sifatida Entropy Seal kabi tamper-evident yetkazib berish sxemalarini tilga oldi. Herbert xatarlarni kamaytirishning yana bir usulini ham ko‘rsatdi. "Multisig bu yerda sizni himoya qilgan bo‘lardi, ammo passphrase himoya qilganiga ishonchim komil emas," deb yozdi u.

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

Bu multi-vendor multisig’ni qo‘llab-quvvatlovchi dalildir: bunda kalitlar turli ishlab chiqaruvchilarning qurilmalari o‘rtasida taqsimlanadi va bitta buzilgan qurilma mablag‘larni ko‘chira olmaydi. BitGo growth marketing rahbari Ivy Galindoning so‘zlariga ko‘ra, Coldcard ekspluatatsiyasi yoki Ledger reseller hujumida o‘g‘irlangan Bitcoin’ning hech biri multisig setup’dan olinmagan.

"Multi-vendor multisig sizni ta’minot zanjiri hujumlaridan himoya qiladi," deb yozdi Casa hammuassisi Jameson Lopp va Casa foydalanuvchilari Ledger hujumidan zarar ko‘rmaganini ta’kidladi. Casa va Unchained kabi assisted custody provayderlari kalitlar ustidan to‘liq nazoratni bermagan holda, ularni boshqarishda yordam istagan foydalanuvchilarga bunday setup’larni taklif qiladi.

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

Shaxsiy mas’uliyatni boshqalarga topshirish qiyin

Bu yilgi hodisalar kripto egalari Bitcoin va boshqa raqamli aktivlarini qanday himoya qilishlarini qayta ko‘rib chiqishlariga turtki bo‘lishi kerak. Bundan chiqadigan xulosa apparat hamyonlari foydasiz degani emas, balki hech bir qurilma yoki kompaniya ko‘r-ko‘rona ishonchga loyiq emasligidir.

X dagi postni ko‘rish Yuklanmoqda...

Tvitt muallif tomonidan o‘chirildi.

Lekin biz hamma narsani saqlab oldik 🙂.

Achinarli haqiqat shuki, o‘z coin’larini mustaqil ravishda xavfsiz saqlay olmaydigan va bunga yordam beradigan ishonchli odami bo‘lmagan ayrim kishilar Bitcoin’ga ETF yoki Bitcoin treasury kompaniyasi orqali ekspozitsiya olishdan yaxshiroq natija ko‘rishi mumkin. Bu tizim avvalo ishonchli uchinchi tomonlarni yo‘q qilish uchun yaratilganini hisobga olsak, bunday xabarni qabul qilish qiyin. LayerTwo Labs asoschisi va bosh direktori Paul Sztorc X’da aytganidek, "Shaxsiy mas’uliyatni boshqalarga topshirish qiyin."