Эксперт по восстановлению кошельков назвал Coldcard и Keystone наименее надежными
Основатель WalletRecovery.info Дэвид Векслер проанализировал четыре инцидента с аппаратными кошельками в 2026 году и пришел к выводу, что главная угроза исходит не от криптографии, а от процессов разработки у производителей.
Дэвид Векслер, основатель сервиса WalletRecovery.info, сравнил четыре крупных инцидента с аппаратными кошельками за 2026 год. Он считает, что покупать стоит Trezor, Ledger и Bitkey, а от Coldcard и Keystone советует отказаться. По его словам, за годы работы он не встречал сбоев самих алгоритмов — AES, secp256k1 и BIP-39 продолжают работать исправно. Проблемы возникают вокруг них: в резервных копиях, забытых механизмах восстановления или неправильно хранимых секретах.
Самый яркий пример — Coldcard, с которого похитили $116 млн. При переходе на новую библиотеку генерация сид-фразы оказалась привязана не к аппаратному генератору случайных чисел, а к программному генератору Yasmarang. Проверка, что устройство вызывает нужный генератор, отсутствовала. Производитель Coinkite закрыл уязвимость, но, по мнению Векслера, не изменил подход, который к ней привел.
Keystone не потерял средства клиентов, но получил такую же оценку. В октябре злоумышленник взломал сторонний инструмент мониторинга сайта и получил доступ к данным покупателей и ключу аутентификации WebAuth, который на проданных устройствах не меняется. Компания уничтожила 18 835 устройств со склада и сменила ключ для новых партий. Векслер отметил, что секрет для всех устройств хранился там, куда дотянулся взлом сайта, а утечка затронула данные с 2024 года, хотя компания обещала удалять их через 180 дней.
У Trezor и Ledger сбои не затронули генерацию ключей и подпись транзакций. В августе был взломан подрядчик Trezor по доставке ShipMonk, пострадали 80 689 покупателей. У Ledger через реселлера CryptoBilis продавались устройства с закладками, считывавшими слова восстановления с экрана. В обоих случаях сами устройства и защищенные чипы остались нетронутыми.
Векслер советует перед покупкой кошелька проверять, что работает на подписывающем устройстве, есть ли у производителя независимая команда безопасности, как компания отзывает ключи на проданных устройствах и открыт ли код прошивки для проверки.
Источник
- BeInCryptoЭксперт по взлому криптокошельков назвал 2 бренда, которым нельзя доверять
