Вразливість Ill Bloom: чому слабка seed-фраза коштує мільйони доларів

Тисячі криптогаманців у кількох мережах виявилися вразливими через слабку генерацію seed-фрази для відновлення доступу. Дослідники безпеки з Coinspect назвали проблему Ill Bloom і повідомили, що з неї вже вкрали щонайменше 5 мільйонів доларів. Якщо ваш гаманець створений мобільним застосунком не з перших рядків рейтингів, варто перевірити адресу якнайшвидше.

Що таке вразливість Ill Bloom?

Coinspect оприлюднила знахідку в неділю. Деякі програмні гаманці генерували seed-фразу за допомогою слабкого генератора випадкових чисел. Замість справді непередбачуваної послідовності слів пристрій видавав комбінації, які легше вгадати або перебрати повним перебором.

Атаки такого типу особливо небезпечні тим, що жертва не бачить жодних ознак злому. Немає фішингового листа, немає підозрілого посилання, гроші просто зникають з адреси в один момент. Компанія поки не розкриває технічні деталі самого механізму, щоб не підказувати зловмисникам, які саме гаманці ще можна атакувати. Натомість дослідники випустили безкоштовний інструмент, яким власник адреси може самостійно перевірити, чи потрапляє його гаманець до групи ризику, не розкриваючи приватний ключ.

Проблема зачіпає адреси в мережах Bitcoin, Ethereum, Polygon, Rootstock, Tron і Solana. Найстаріші вразливі гаманці створені ще у 2018 році, тож проблема існує роками, просто до неї не придивлялися так пильно. Coinspect застерегла, що якщо кошти нещодавно рухалися без вашого відома, причиною цілком може бути саме ця вразливість.

Як слабка випадковість гаманця веде до крадіжки?

Seed-фраза, набір із 12 чи 24 слів, це фактично пароль до всіх монет у гаманці. Програма створює її на основі випадкового числа, і чим менше варіантів може видати генератор, тим легше комп'ютеру зловмисника перебрати всі можливі комбінації.

У більшості гаманців seed-фраза береться зі стандартного списку з 2048 слів, і кожне слово кодує певну кількість бітів ентропії. Якщо генератор випадкових чисел на пристрої видає передбачувані або повторювані значення, реальна ентропія падає в рази, хоча зовні фраза виглядає звичайною і нічим не відрізняється від надійної.

Саме тому користувач не має способу відрізнити слабку seed-фразу від сильної просто поглянувши на неї. Проблема ховається в коді застосунку, а не в самих словах чи їх кількості. Якщо генератор випадковості слабкий, кількість реальних варіантів seed-фрази різко скорочується. Зловмисникам не потрібен доступ до самого пристрою. Достатньо вгадати алгоритм слабкого генератора, а тоді перебрати обмежений набір можливих фраз офлайн, без жодної взаємодії з жертвою.

Надійні гаманці натомість використовують криптографічно стійкі генератори випадкових чисел, які беруть ентропію з апаратних джерел пристрою, наприклад із шуму сенсорного екрана чи мікрофона. Такий підхід унеможливлює передбачення результату, навіть якщо зловмисник знає сам алгоритм генератора.

• Джерело випадковості: слабкий генератор різко зменшує кількість можливих seed-фраз
• Вік гаманця має значення, найстаріші вразливі адреси створені ще у 2018 році
• Апаратні гаманці не використовують той самий вразливий генератор і лишаються в безпеці
• Більшість сучасних популярних програмних гаманців також не постраждали, за даними Coinspect

Це вже траплялося раніше?

Слабка генерація seed-фрази не нова проблема для галузі. У 2023 році команда безпеки Ledger виявила, що браузерне розширення Trust Wallet видавало seed-фрази з обмеженим набором можливих комбінацій, приблизно чотири мільярди варіантів. Такий обсяг зловмисник міг перебрати менш ніж за добу, маючи лише кілька звичайних відеокарт. Trust Wallet тоді встигла випустити виправлення до того, як хтось реально втратив кошти. Проблему виправили лише після того, як дослідники безпеки публічно оприлюднили деталі, тобто без зовнішнього тиску вона могла лишитися непоміченою значно довше.

Того ж року вразливість у гаманці Libbitcoin Explorer призвела до крадіжки 900 000 доларів через перебір приватних ключів. Історія показує просту закономірність. Слабка випадковість регулярно повертається як причина втрати коштів, і щоразу жертвами стають користувачі менш популярних або застарілих інструментів.

Обидва випадки 2023 року поєднує одна деталь. Вразливість виникла не в самому блокчейні, а в конкретному застосунку, який неправильно реалізував генерацію випадкових чисел. Це означає, що надійність гаманця залежить не лише від того, яку монету він підтримує, а передусім від якості коду розробника. Для звичайного користувача висновок практичний. Вік і походження гаманця часто важливіші за назву мережі, в якій зберігаються кошти.

Що робити власникам гаманців зараз

Найпростіший крок, перевірити свою адресу через інструмент Coinspect і переконатися, що гаманець не потрапляє до групи ризику. Власникам апаратних гаманців хвилюватися не варто, вразливість їх не стосується. Найбільше уваги варто приділити адресам, які створювалися в менш популярних мобільних застосунках кілька років тому.

Якщо ви не впевнені, коли і в якому застосунку створювали чинний гаманець, безпечніше вважати його потенційно вразливим і перенести кошти, ніж покладатися на здогадки. Експерти з безпеки також радять перевіряти репутацію застосунку до того, як довірити йому кошти. Варто з'ясувати, чи проходив код незалежний аудит і чи давно існує компанія-розробник. Новий гаманець варто завантажувати лише з офіційного сайту розробника або перевіреного магазину застосунків, а не за посиланням із соцмереж чи месенджерів.

Якщо seed-фраза створювалася саме за таких умов, розумно перенести кошти на новий гаманець із перевіреною репутацією і згенерувати нову фразу. Coinspect поки не розкриває деталей самого експлойта, а SlowMist уже підтвердила, що відстежує ситуацію разом з іншими дослідниками. Історія з Ill Bloom нагадує просту річ. Безпека криптогаманця залежить не лише від пароля, а й від якості коду, що цей пароль створює. Для власників криптовалюти цей випадок ще раз показує просте правило самозберігання. Чим менше відома репутація застосунку, тим ретельніше варто перевіряти, як саме він зберігає й генерує ключі.