В два часа ночи экран телефона вдруг ярко засветился — инструменты мониторинга в блокчейне сошли с ума, 22 записи о переводах мгновенно заполнили экран. Более 40 тысяч основных токенов были массово переведены, по грубым подсчетам, объем составляет близко к 2,4 миллиарда долларов.

Более странно то, что права на перевод этой партии активов вообще не находятся в руках у первоначального владельца.

Министерство юстиции США получило приватные ключи этих адресов, но не через традиционные методы хакерских атак или фишинга, а благодаря вычислительной мощности, "жесткому вычислению". Без социальной инженерии, без внедрения вредоносного ПО, чисто математический брутфорс. Эта новость привела меня в полное сознание.

Я в圈内混了 восемь лет, и это первый раз, когда я столкнулся с такой ситуацией. Быстро позвонил техническим друзьям, чтобы уточнить ситуацию, и, пок折авшись до утра, наконец понял, в чем дело:

Эти адреса, которые стали проблемными, были созданы с помощью старых версий кошельков в период с 2020 по 2021 год. Конкретные версии? imToken 2.8.1 и Trust Wallet 5.14 — да, именно эти две версии, которые уже ушли в прошлое. У них есть смертельный дизайн-дефект: недостаточная сила генератора случайных чисел, энтропия составляет всего 112 бит.

Возможно, кто-то считает, что 112 бит звучит довольно много. Но проблема в том, что общепринятый стандарт безопасности в отрасли — это 128 бит, а высший стандарт — 256 бит. Насколько велика разница между ними? Для примера: 112 бит как 8 цифр в качестве пароля, а 256 бит — это 32 смешанных символа: большие и маленькие буквы, цифры и символы.

Техническая команда провела испытания: аренда облачных вычислительных мощностей, вложение около 32 000 долларов, позволяет за приемлемое время пройти через пространство комбинаций порядка 2 в 32-й степени. Другими словами, такой уровень "защиты" перед профессиональным оборудованием оказывается ничтожным.

Это событие стало предупреждением для всех — не думайте, что если активы находятся в холодном кошельке, то они в полной безопасности. Если сам инструмент имеет дефекты, то никакие предосторожности не помогут. Быстро проверьте версию вашего кошелька, обновите, если необходимо, и не медлите с миграцией. В конце концов, если произойдет что-то серьезное, будет слишком поздно сожалеть.