Уязвимость Ill Bloom: почему слабая seed-фраза стоит миллионы долларов

Тысячи криптокошельков в нескольких сетях оказались уязвимы из-за слабой генерации seed-фразы для восстановления доступа. Исследователи безопасности из Coinspect назвали проблему Ill Bloom и сообщили, что из-за неё уже украли как минимум 5 миллионов долларов. Если ваш кошелёк создан мобильным приложением не из первых строчек рейтингов, стоит проверить адрес как можно скорее.

Что такое уязвимость Ill Bloom?

Coinspect обнародовала находку в воскресенье. Некоторые программные кошельки генерировали seed-фразу с помощью слабого генератора случайных чисел. Вместо по-настоящему непредсказуемой последовательности слов устройство выдавало комбинации, которые легче угадать или подобрать полным перебором.

Атаки такого типа особенно опасны тем, что жертва не видит никаких признаков взлома. Нет фишингового письма, нет подозрительной ссылки, деньги просто исчезают с адреса в один момент. Компания пока не раскрывает технические детали самого механизма, чтобы не подсказывать злоумышленникам, какие ещё кошельки можно атаковать. Взамен исследователи выпустили бесплатный инструмент, с помощью которого владелец адреса может самостоятельно проверить, попадает ли его кошелёк в группу риска, не раскрывая приватный ключ.

Проблема затрагивает адреса в сетях Bitcoin, Ethereum, Polygon, Rootstock, Tron и Solana. Самые старые уязвимые кошельки созданы ещё в 2018 году, то есть проблема существует годами, просто на неё не обращали столько внимания. Coinspect предупредила, что если средства недавно перемещались без вашего ведома, причиной вполне может быть именно эта уязвимость.

Как слабая случайность кошелька приводит к краже?

Seed-фраза, набор из 12 или 24 слов, это фактически пароль ко всем монетам в кошельке. Программа создаёт её на основе случайного числа, и чем меньше вариантов способен выдать генератор, тем легче компьютеру злоумышленника перебрать все возможные комбинации.

В большинстве кошельков seed-фраза берётся из стандартного списка в 2048 слов, и каждое слово кодирует определённое количество бит энтропии. Если генератор случайных чисел на устройстве выдаёт предсказуемые или повторяющиеся значения, реальная энтропия падает в разы, хотя внешне фраза выглядит обычной и ничем не отличается от надёжной.

Именно поэтому пользователь не может отличить слабую seed-фразу от сильной, просто взглянув на неё. Проблема прячется в коде приложения, а не в самих словах или их количестве. Если генератор случайности слабый, количество реальных вариантов seed-фразы резко сокращается. Злоумышленникам не нужен доступ к самому устройству. Достаточно угадать алгоритм слабого генератора, а затем перебрать ограниченный набор возможных фраз офлайн, без какого-либо взаимодействия с жертвой.

Надёжные кошельки, напротив, используют криптографически стойкие генераторы случайных чисел, которые берут энтропию из аппаратных источников устройства, например из шума сенсорного экрана или микрофона. Такой подход исключает предсказание результата, даже если злоумышленник знает сам алгоритм генератора.

• Источник случайности: слабый генератор резко уменьшает количество возможных seed-фраз
• Возраст кошелька имеет значение, самые старые уязвимые адреса созданы ещё в 2018 году
• Аппаратные кошельки не используют тот же уязвимый генератор и остаются в безопасности
• Большинство современных популярных программных кошельков тоже не пострадали, по данным Coinspect

Это уже случалось раньше?

Слабая генерация seed-фразы не новая проблема для отрасли. В 2023 году команда безопасности Ledger обнаружила, что браузерное расширение Trust Wallet выдавало seed-фразы с ограниченным набором возможных комбинаций, около четырёх миллиардов вариантов. Такой объём злоумышленник мог перебрать менее чем за сутки, имея лишь несколько обычных видеокарт. Trust Wallet тогда успела выпустить исправление до того, как кто-то реально потерял средства. Проблему устранили только после того, как исследователи безопасности публично раскрыли детали, то есть без внешнего давления она могла оставаться незамеченной значительно дольше.

В том же году уязвимость в кошельке Libbitcoin Explorer привела к краже 900 000 долларов через перебор приватных ключей. История показывает простую закономерность. Слабая случайность регулярно возвращается как причина потери средств, и каждый раз жертвами становятся пользователи менее популярных или устаревших инструментов.

Оба случая 2023 года объединяет одна деталь. Уязвимость возникла не в самом блокчейне, а в конкретном приложении, которое неправильно реализовало генерацию случайных чисел. Это значит, что надёжность кошелька зависит не только от того, какую монету он поддерживает, а прежде всего от качества кода разработчика. Для обычного пользователя вывод практический. Возраст и происхождение кошелька часто важнее названия сети, в которой хранятся средства.

Что делать владельцам кошельков сейчас

Самый простой шаг, проверить свой адрес через инструмент Coinspect и убедиться, что кошелёк не попадает в группу риска. Владельцам аппаратных кошельков волноваться не стоит, уязвимость их не касается. Больше всего внимания стоит уделить адресам, которые создавались в менее популярных мобильных приложениях несколько лет назад.

Если вы не уверены, когда и в каком приложении создавали текущий кошелёк, безопаснее считать его потенциально уязвимым и перенести средства, чем полагаться на догадки. Эксперты по безопасности также советуют проверять репутацию приложения прежде, чем доверить ему средства. Стоит выяснить, проходил ли код независимый аудит и как давно существует компания-разработчик. Новый кошелёк стоит скачивать только с официального сайта разработчика или проверенного магазина приложений, а не по ссылке из соцсетей или мессенджеров.

Если seed-фраза создавалась именно в таких условиях, разумно перенести средства на новый кошелёк с проверенной репутацией и сгенерировать новую фразу. Coinspect пока не раскрывает деталей самого эксплойта, а SlowMist уже подтвердила, что отслеживает ситуацию вместе с другими исследователями. История с Ill Bloom напоминает простую вещь. Безопасность криптокошелька зависит не только от пароля, но и от качества кода, который этот пароль создаёт. Для владельцев криптовалюты этот случай ещё раз показывает простое правило самохранения. Чем менее известна репутация приложения, тем тщательнее стоит проверять, как именно оно хранит и генерирует ключи.