Тысячи криптокошельков across multiple blockchains оказались под угрозой полного опустошения из-за критической уязвимости в генерации recovery phrases (seed-фраз). Компания Coinspect, специализирующаяся на безопасности блокчейна, опубликовала тревожное предупреждение о проблеме, получившей название «Ill Bloom». Злоумышленники уже успели вывести более $5 миллионов с уязвимых кошельков, используя слабость псевдослучайных генераторов чисел (PRNG), которые должны обеспечивать криптографическую стойкость мнемонических фраз.
📊 Ключевой факт: По данным Coinspect, атака 27 мая затронула 431 кошелек из 2,114 уязвимых, с которых было украдено $3.1 миллиона. Еще $2 миллиона были выведены в последующие дни. Уязвимость затрагивает кошельки, созданные еще в 2018 году.
В основе криптографии криптовалют лежит принцип энтропии — истинной случайности. Когда вы создаете новый кошелек, генерируется seed-фраза из 12 или 24 слов, которая должна быть абсолютно непредсказуемой. Но «Ill Bloom» показала, что некоторые кошельки используют слабые генераторы псевдослучайных чисел, которые производят предсказуемые последовательности.
| Блокчейн | Статус | Тип уязвимых кошельков |
|---|---|---|
| Bitcoin (BTC) | Подтверждено | Мобильные программные кошельки |
| Ethereum (ETH) | Подтверждено | Мобильные программные кошельки |
| Solana (SOL) | Подтверждено | Мобильные программные кошельки |
| Tron (TRX) | Подтверждено | Мобильные программные кошельки |
| Polygon (MATIC) | Подтверждено | Мобильные программные кошельки |
| Rootstock (RSK) | Подтверждено | Мобильные программные кошельки |
«Криптография — это не магия. Это математика. И если ваша «случайность» на самом деле предсказуема, вся система рушится как карточный домик», — Брюс Шнайер, эксперт по кибербезопасности.
Coinspect четко обозначила, какие пользователи находятся под угрозой, а какие могут спать спокойно.
💡 Практический вывод: Если вы создали кошелек с помощью аппаратного устройства или популярного программного кошелька, вы не затронуты уязвимостью Ill Bloom. Проблема касается в основном малоизвестных мобильных приложений.
Атака Ill Bloom — это не теоретическая угроза, а активный эксплойт, который уже нанес серьезный ущерб.
| Дата | Событие | Ущерб |
|---|---|---|
| 27 мая 2026 | Начало массовой атаки | $3.1 млн украдено с 431 кошелька |
| 27 мая - 5 июля | Продолжение эксплуатации | Еще $2 млн выведено |
| 6 июля 2026 | Публикация предупреждения Coinspect | Выпуск инструмента проверки |
Coinspect выпустила специальный инструмент для проверки, но есть и другие способы убедиться в безопасности.
⚠️ Важно: Никогда и никому не сообщайте свою seed-фразу! Легитимные сервисы проверки используют только публичные адреса кошельков.
Ill Bloom — не первая уязвимость такого типа. История криптовалют полна примеров, когда слабая энтропия приводила к кражам.
| Год | Проект | Ущерб | Причина |
|---|---|---|---|
| 2023 | Trust Wallet (browser extension) | Предотвращено | Ограничение до 4 млрд комбинаций |
| 2023 | Libbitcoin Explorer | $900,000 | Брутфорс приватных ключей |
| 2026 | Ill Bloom (multiple wallets) | $5+ млн | Слабый PRNG в мобильных кошельках |
В 2023 году команда безопасности Ledger обнаружила, что расширение браузера Trust Wallet генерировало уязвимые seed-фразы. Проблема заключалась в генерации энтропии для новых адресов, что ограничивало общее количество возможных мнемонических комбинаций примерно четырьмя миллиардами. Мотивированный злоумышленник мог провести атаку менее чем за день, используя всего несколько GPU. К счастью, Trust Wallet исправила баг до того, как средства были украдены.
«Безопасность — это не продукт, а процесс. Каждая новая уязвимость — это урок, который должен сделать всю индустрию сильнее», — Виталик Бутерин, сооснователь Ethereum.
Представьте, что вы покупаете лотерейный билет. Вам говорят, что шансы выиграть джекпот — 1 к 292 миллионам. Это кажется абсолютно случайным и справедливым. Но что если бы организаторы лотереи использовали для генерации номеров не случайные числа, а, скажем, последние цифры телефонных номеров из городской справочной книги 1995 года?
Внезапно ваши «случайные» числа становятся предсказуемыми. Любой, кто знает источник «случайности», может перебрать все возможные комбинации и выиграть. Именно это происходит с уязвимыми криптокошельками. Их seed-фразы кажутся случайными, но на самом деле генерируются из ограниченного набора предсказуемых значений.
В мире криптовалют «организаторы лотереи» — это разработчики кошельков. И если они сэкономили на качественном генераторе случайных чисел, ваш «случайный» seed становится предсказуемым. Злоумышленники, вооруженные GPU-кластерами, перебирают все возможные комбинации, как если бы они знали алгоритм генерации лотерейных билетов.
Если проверка показала, что ваш адрес находится в списке уязвимых, действовать нужно немедленно.
🚨 Срочно: Если вы обнаружили, что ваш кошелек уязвим, не откладывайте. Злоумышленники продолжают атаковать уязвимые адреса 24/7. Каждая минута промедления — это риск.
Уязвимость Ill Bloom должна стать поворотным моментом для индустрии криптокошельков.
Уязвимость Ill Bloom — это напоминание о том, что в криптографии нет мелочей. Каждый бит энтропии важен. Каждый источник случайности должен быть криптографически стойким. И каждый пользователь должен понимать, что безопасность его средств начинается с качества генерации seed-фразы.
В мире, где $5 миллионов могут быть украдены из-за предсказуемой «случайности», паранойя — это не расстройство личности, а профессиональная гигиена. Проверяйте свои кошельки. Используйте только проверенные решения. И помните: в криптографии доверие должно быть подкреплено математикой, а не красивыми обещаниями.
«Случайность — это не отсутствие порядка, а порядок, который мы еще не научились предсказывать. Но в криптографии мы должны быть уверены, что этот порядок не сможет предсказать никто другой», — Клод Шеннон, отец теории информации.
