Звучит как крах всей конструкции: средства уходят без взлома кошелька, без фишинга и без доступа к устройству — ключ просто вычисляют из данных, которые и так лежат в открытом реестре. Механика реальна, случаи были, и потери исчислялись миллионами. Но прежде чем пугаться за свои монеты, стоит понять одну вещь, которая всё расставляет по местам: сломана здесь не математика, а конкретная программа. Разберём спокойно и по делу: как атака работает в общих чертах, почему это не дыра в криптографии, кто действительно в зоне риска, а кто защищён устройством своего кошелька, и что конкретно стоит проверить. Это аналитический обзор, а не инвестиционная рекомендация.

В чём суть на уровне идеи

Каждая транзакция подписывается закрытым ключом, и подпись попадает в публичный реестр — так задумано, иначе сеть не смогла бы проверить её подлинность. Но в самом процессе подписания участвует ещё один элемент: одноразовое случайное число, которое программа генерирует заново для каждой операции. Пользователь его не видит и никогда о нём не думает.

Вся безопасность держится на двух условиях: это число должно быть по-настоящему случайным и никогда не повторяться при работе с одним и тем же ключом. Если условие нарушается — например, программа из-за ошибки использует одно и то же значение дважды, — в двух опубликованных подписях появляется математическая связь, из которой закрытый ключ вычисляется однозначно. Никакого взлома при этом не происходит: атакующий просто читает открытые данные и решает уравнение. Что такое утечка приватного ключа и чем она отличается от компрометации seed-фразы, мы разбирали отдельно.

Почему это не дыра в криптографии

Тут и находится главная поправка ко всей теме. Сам алгоритм подписи математически надёжен и никем не сломан. Уязвимость всегда живёт в реализации — в конкретном программном обеспечении, которое неправильно формирует одноразовое число. Это принципиальная разница: в первом случае пришлось бы менять основы всей отрасли, во втором достаточно исправить программу.

История это подтверждает. В 2010 году производитель игровой консоли использовал для подписей фиксированное значение вместо случайного — и ключ подписи прошивки был восстановлен. В 2013-м сбой генератора случайных чисел в мобильной операционной системе привёл к тому, что кошельки на её основе повторяли одно и то же значение в транзакциях с несколькими входами, чем и воспользовались злоумышленники. В обоих случаях виновата была программа, а не математика. Какие уроки индустрия вынесла из громких взломов, мы разбирали подробно.

Из сопоставления видно, что проблема давно локализована и в основном закрыта. После череды инцидентов отрасль перешла на детерминированный способ формирования одноразового числа: оно вычисляется из самого ключа и подписываемых данных, а не берётся у генератора случайных чисел. Это убирает зависимость от качества генератора вообще — программа физически не может дважды получить одно значение для разных транзакций. Более новые схемы подписи устроены так изначально. Что при этом защищает пользователя на практике, показано ниже.

Расстановка сил объясняет, почему утверждение «касается каждого держателя» стоит смягчить. Пользователь современного кошелька от известного разработчика защищён самой реализацией: детерминированная генерация там встроена, и повторить одноразовое число программа просто не может. В зоне риска остаются те, кто работает через устаревшие версии, самописные скрипты, малоизвестные приложения сомнительного происхождения или давно не обновлявшиеся устройства. Это существенная, но всё же ограниченная группа, а не все подряд.

Что защищает архитектурно

Аппаратные кошельки здесь в выигрышном положении по нескольким причинам сразу. Подпись формируется внутри защищённого элемента устройства, ключ никогда не покидает его пределов, а генерация одноразового числа реализована по современному стандарту и проверена аудитом. Плюс изолированность: даже заражённый компьютер не может вмешаться в процесс подписания.

Но важно понимать границы этой защиты. Аппаратное устройство помогает не магией, а качеством реализации — а значит, зависит от корректности собственной прошивки. Именно поэтому обновления имеют значение: производители исправляют в том числе и подобные тонкости. Дополнительный слой даёт схема с несколькими подписями, когда для перевода требуется подтверждение нескольких независимых ключей — компрометация одного не открывает доступ к средствам. Как аппаратный кошелёк защищает от ончейн-атак и что даёт мульти-подписной кошелёк, мы объясняли отдельно.

Практические меры

Набор действий здесь короткий и вполне выполнимый. Первое и главное — пользоваться кошельками известных разработчиков с открытым кодом и историей аудитов, а не малоизвестными сборками и самописными инструментами. Второе — своевременно устанавливать обновления, включая прошивку аппаратных устройств: значительная часть исправлений касается именно таких внутренних тонкостей.

Третье — держать значимые суммы на аппаратном устройстве, где подпись формируется в изолированной среде. Четвёртое — для крупных сумм рассмотреть схему с несколькими подписями. И общее правило, работающее против всего класса подобных проблем: чем меньше в цепочке самодельного и непроверенного, тем меньше шансов, что ошибка чьей-то реализации станет вашей потерей. Чем мобильный кошелёк отличается от аппаратного и что такое публичный реестр, мы разбирали в отдельных материалах.

Частые вопросы