Viedoklis

Aparatūras maku drošība 06.09.2026: Coldcard mācība

Skaidrojuma un analīzes raksts par augusta Coldcard un BitBox aparātprogrammatūras incidentiem un to, ko vājas nejaušības kļūda nozīmē pašglabāšanai Baltijā un Ziemeļvalstīs. Konteksts, ne svaiga ziņa.

Toms Ābeltiņš

2026. gada 6. septembris6 min lasīšana

Pēdējās 24 stundās mūsu segmentā atsevišķi datējama primāra jaunuma nav, tāpēc šis ir godīgi apzīmēts skaidrojums. Padziļināti aplūkojam augusta Coldcard nejaušības kļūdu (skarta aparātprogrammatūra kopš 2021. gada marta, ielāpi 20. augustā) un BitBox 18. augusta ielāpus. Galvenā mācība: atjaunināšana vien nepietiek — skartajām sēklas frāzēm nepieciešama pilnīga nomaiņa.

Pēdējās 24 stundās Baltijas un Ziemeļvalstu kripto biržu, karšu, nodokļu rīku un aparatūras maku segmentā atsevišķi datējama primāra jaunuma nav. Tāpēc šis ir godīgi apzīmēts skaidrojuma un analīzes raksts, nevis dienas ziņa. Padziļināti aplūkojam vienu turpinošu tēmu no mūsu segmenta aparatūras maku kategorijas: augusta Coldcard un BitBox nejaušības un aparātprogrammatūras incidentus. Visi zemāk minētie notikumi ir datēti ar augustu un pasniegti kā konteksts, ne kā svaiga ziņa. Šis raksts turpina 21. jūlija analīzi par fiziskajiem uzbrukumiem — bet augusta incidenti ir tās pretstats: attālināti, uz vājas nejaušības balstīti, bez fiziskas piekļuves ierīcei.

Kāpēc šī tēma reģionam ir svarīga

Pēc MiCA pārejas perioda beigām 1. jūlijā licencēto CASP loks Baltijā un Ziemeļvalstīs ir sarucis, un daļa lietotāju arvien vairāk paļaujas uz pašglabāšanu aparatūras makos. Kad atslēgas glabā pats lietotājs, nevis licencēta birža, jautājums par maka aparātprogrammatūras kvalitāti kļūst par tiešu finanšu risku. Svarīgi uzsvērt regulatīvo robežu: MiCA regulē CASP jeb biržas un pakalpojumu sniedzējus, nevis pašglabāšanas ierīces. Tāpēc aparatūras maka drošība paliek lietotāja atbildībā, un neviens Baltijas vai Ziemeļvalstu regulators — cik izriet no publiski pieejamās informācijas — par šiem konkrētajiem incidentiem atsevišķu brīdinājumu nav izdevis.

Coldcard nejaušības kļūda (konteksts, ne svaiga ziņa)

Coldcard (Coinkite) aparātprogrammatūrā tika atklāta kritiska kļūda nejaušu skaitļu ģenerēšanā. Saskaņā ar Ledger 2. augusta publikāciju un Ledger tehnoloģiju direktora Charles Guillemet skaidrojumu, aizsargpārbaude pārliecinājās, vai konfigurācijas makro ir definēts, nevis vai tas ir ieslēgts. Rezultātā būvējums klusi atkāpās uz programmatūras ģeneratoru, kas tika sēklots no mikroshēmas sērijas numura un taimera — vērtībām, ko uzbrucējs var atjaunot. Sēklas telpa saruka no reklamētajiem 128 bitiem līdz aptuveni 32 bitiem, tas ir, aptuveni četriem miljardiem iespēju, kas padara brutālā spēka uzbrukumu praktiski izpildāmu.

Kļūda publiskajā kodā ir bijusi kopš 2021. gada marta un palika nepamanīta vairāk nekā četrus gadus. Coinkite norāda, ka skartas šādas versijas: Mk2/Mk3 aparātprogrammatūra 4.0.1–4.1.9, Mk4/Mk5 pirms 5.6.0 un Q pirms 1.5.0Q. Ledger Donjon šo konkrēto Coldcard kļūdu neatklāja, taču nozarē tas nav pirmais šāda tipa atradums — Donjon 2022. gada nogalē bija atklājis līdzīgu ievainojamību citā produktā.

Cik lieli ir zaudējumi — ar atrunu

Zaudējumu aplēses augusta laikā mainījās, jo analīze paplašinājās, un tās joprojām nav oficiāli apstiprinātas. Ledger 2. augusta agrīnā aplēse minēja vairāk nekā 1 000 BTC no aptuveni 1 200 makiem. Vēlākā Galaxy Research analīze, uz ko atsaucas nozares mediji, norādīja aptuveni 1 778,6 BTC (ap 112 miljoniem ASV dolāru) no vairāk nekā 8 600 adresēm. TRM Labs šo incidentu nodēvēja par 2026. gada lielāko aparatūras maku ekspluatāciju ar aptuveni 116 miljonu dolāru zaudējumiem. Atsevišķi TechCrunch 4. augustā ziņoja par vairāk nekā 130 miljoniem dolāru, kas nozagti, izmantojot kļūdas bezsaistes aparatūras makos kopumā. Coinkite līdz publiski pieejamo datu brīdim nav publicējis pārbaudītu upuru skaitu, tiesībsargājošās iestādes izmeklē, un neatkarīga Block analīze liecina, ka ievainojamības logs var sniegties tālāk atpakaļ, nekā norāda sākotnējais brīdinājums. Šie skaitļi jātraktē kā aplēses, ne kā galīgi dati.

Kāpēc atjaunināšana vien nepietiek

Šis ir vissvarīgākais praktiskais secinājums. Coinkite 20. augustā izlaida ielāpotās aparātprogrammatūras versijas — 5.6.1 Mk4/Mk5 ierīcēm un 1.5.1Q Coldcard Q — nosakot obligātu fizisko nejaušību sēklas ģenerēšanā turpmāk. Tomēr sēklas frāzes, kas jau ģenerētas uz ievainojamās aparātprogrammatūras, paliek apdraudētas arī pēc atjaunināšanas. Skartajiem īpašniekiem nepietiek tikai atjaunināt ierīci: nepieciešams ģenerēt pilnīgi jaunu sēklas frāzi ar atjaunināto aparātprogrammatūru un pārvietot līdzekļus uz jauno maku. Vecas sēklas atjaunošana vai klonēšana problēmu neatrisina.

BitBox ielāpi 18. augustā

Atsevišķi, bet tajā pašā periodā, BitBox 18. augustā izlaida ielāpus divām nopietnām ievainojamībām. Pirmā bija atmiņas bojāšanas kļūda, kas skāra BitBox02 un BitBox02 Nova ierīces pirms maka konfigurēšanas: ļaunprātīgs resursdators varēja izpildīt patvaļīgu kodu un potenciāli uzstādīt kaitīgu aparātprogrammatūru. Otrā attiecās uz Silent Payments privātuma funkciju, kur kļūda ļāva novirzīt maksājumus uz neparedzētām adresēm, taču to nevarēja izmantot tiešai līdzekļu zādzībai. BitBox norāda, ka par ekspluatāciju vai lietotāju zaudējumiem pierādījumu nav; lietotājiem ieteikts nekavējoties uzstādīt ielāpoto aparātprogrammatūru caur oficiālo programmatūru.

Nozares reakcija

Raksturīga šī perioda iezīme bija konkurentu sadarbība drošības jautājumos. Ledger publicēja detalizētu tehnisko skaidrojumu par Coldcard incidentu, uzsverot, ka tā ierīces izmanto aparatūras patiesu nejaušu skaitļu ģeneratoru drošības elementā. Trezor izdeva atsevišķu paziņojumu, ka tā ierīces Coldcard ievainojamība neskar. Gan Ledger, gan Trezor publiski apliecināja, ka to lietotāju līdzekļi ir droši. Šī ir konteksta informācija par ražotāju nostāju, nevis neatkarīga verifikācija.

Watchlist un nākamie pārbaudes punkti

Augusta incidenti iekļaujas plašākā 2026. gada aparatūras maku pārbaudes ainā, kurā ietilpst arī jūlijā aplūkotais Ledger Donjon lāzera tests Tangem kartēm (13. un 21. jūlija materiāli). Kopīgā mācība: neviena aparatūras maka arhitektūra nav absolūti droša, un riska profili atšķiras — fiziski uzbrukumi, aparātprogrammatūras kļūdas un nejaušības trūkumi ir dažādas kategorijas. Reģiona kontekstā fona dati paliek stabili: pēc CASP reģistra trekeriem uz septembra sākumu ESMA MiCA reģistrā ir aptuveni 331 CASP (casptracker dati sinhronizēti 2. septembrī; Outrun aplēse ap 333 uz 21. augustu), un jaunu Baltijas vai Ziemeļvalstu CASP pēdējās nedēļās nav pievienojies. Nākamie pārbaudes punkti: vai Coinkite publicēs galīgu upuru skaitu, vai kāds reģiona regulators reaģēs uz pašglabāšanas drošības tēmu, un vai citi ražotāji veiks proaktīvu nejaušības auditu.

Kopsavilkums lietotājiem un tirgotājiem

Pirmkārt, ja lietojat Coldcard ar skarto aparātprogrammatūru, uzskatiet esošo sēklas frāzi par apdraudētu: atjauniniet aparātprogrammatūru, ģenerējiet jaunu sēklu un pārvietojiet līdzekļus. Otrkārt, BitBox02 un Nova lietotājiem nekavējoties jāuzstāda 18. augusta ielāpi. Treškārt, aparātprogrammatūras atjauninājumus vērts uztvert kā regulāru drošības uzturēšanu, ne kā izvēles darbību. Ceturtkārt, izvērtējiet ražotāja atklātību: atvērtā koda aparātprogrammatūra ļāva šo kļūdu publiski analizēt. Piektkārt, zaudējumu skaitļi vēl nav galīgi — izvairieties no pārsteidzīgiem secinājumiem un balstieties uz ražotāju oficiālajiem brīdinājumiem un tiesībsargājošo iestāžu informāciju.

Norriwire Briefing