Совсем недавно специалисты обнаружили серьезную уязвимость в чипах, которые используются для защиты биткоин-кошельков и других криптовалютных систем. Эта проблема затрагивает миллиарды устройств, включая популярные микроконтроллеры, применяемые в Интернете вещей (IoT) и аппаратных кошельках, таких как Blockstream Jade. Уязвимость, идентифицированная как CVE-2025-27840 в базе данных NIST, может привести к кражам биткоинов и других криптовалют.
Что за уязвимость в чипах ESP32?
Суть проблемы заключается в микроконтроллере ESP32, который широко используется для обеспечения беспроводного подключения через Wi-Fi и Bluetooth. Этот чип уже давно зарекомендовал себя в IoT-устройствах, но теперь эксперты выявили его критическую уязвимость. Ошибки в программном обеспечении позволяют злоумышленникам внедрять вредоносные обновления, что даёт им возможность проникать в устройства и манипулировать ими.
После того как злоумышленники получают доступ, они могут подписывать криптотранзакции без ведома пользователя и красть закрытые ключи, что создаёт серьёзные риски для владельцев биткоинов.
Какие устройства под угрозой?
Особую тревогу вызывает использование этого чипа в аппаратных кошельках, таких как Blockstream Jade. Устройства, которые используют ESP32, имеют недостатки в генерации случайных чисел, необходимыми для создания криптографических подписей. Это означает, что злоумышленники могут угадывать ключи, используя метод подбора, что значительно снижает безопасность хранения криптовалют.
Также стоит отметить, что установленный в кошельках генератор псевдослучайных чисел (PRNG) имеет недостаточную энтропию, что делает его уязвимым для атак. По сути, это означает, что любые криптовалютные операции, использующие данный чип, могут быть скомпрометированы.
Как может быть осуществлена атака?
Исследования специалистов показали, что возможные векторы атак через обнаруженные ошибки могут быть разнообразными. Например, с помощью уязвимости злоумышленники могут:
- Генерировать недействительные закрытые ключи, используя дефекты генератора псевдослучайных чисел.
- Подделывать криптографические подписи для биткоин-транзакций благодаря неправильному хешированию.
- Извлекать приватные ключи через атаки на малые группы и манипуляции с криптографическими операциями ECC (кривые эллиптической криптографии).
- Генерировать фейковые открытые ключи, используя неоднозначности координаты Y на кривой ECC.
Для демонстрации этих уязвимостей эксперты использовали реальный аппаратный кошелек с 10 BTC на счёте. Результаты были тревожными и продемонстрировали, насколько серьёзными могут быть последствия, если уязвимость не будет устранена.
Что говорят эксперты?
Компания Crypto Deep Tech, проведшая исследование, утверждает, что внедрение надёжных механизмов защиты и регулярные обновления безопасности являются основными условиями для защиты цифровых систем. Необходимость усиления безопасности в устройствах, таких как ESP32, и во всей криптовалютной экосистеме, становится всё более актуальной. Без должной защиты, устройства, использующие этот чип, могут подвергнуться атакам с очень серьёзными последствиями.
Эксперты напоминают, что криптовалютные пользователи должны быть особенно внимательны и своевременно обновлять программное обеспечение своих устройств, чтобы минимизировать риски. Это включает в себя как обновления безопасности, так и внедрение новых технологий защиты.
История с другими производителями криптокошельков
Отметим, что проблема с безопасностью не обошла стороной и другие криптовалютные кошельки. В марте 2025 года производитель аппаратных кошельков Trezor устранил аналогичную уязвимость в моделях Safe 3 и Safe 5, которая также была связана с микроконтроллером, используемым для криптографических операций. Этот случай подтверждает, что уязвимости в аппаратных кошельках остаются актуальной угрозой, требующей постоянного внимания и своевременных исправлений.
Заключение
Обнаруженная уязвимость в чипах ESP32 является серьёзной угрозой для безопасности криптовалютных транзакций. Возможность манипуляций с криптографическими операциями и доступ к закрытым ключам могут привести к массовым кражам биткоинов и других криптовалют. Важно, чтобы производители устройств и программного обеспечения для криптовалютных кошельков приняли немедленные меры для устранения этой проблемы. Постоянные обновления безопасности и внедрение надежных механизмов защиты — это обязательные условия для обеспечения безопасности цифровых активов в будущем.