Обнаружена критическая уязвимость в криптокошельке Vultisig

Критическая уязвимость в криптокошельке Vultisig

Безопасность криптокошельков — ключевой вопрос для пользователей. Исследование компании ChainSecurity выявило серьёзную уязвимость в процессе подписи ECDSA в кошельке Vultisig. Она позволяет при компрометации одного устройства восстановить приватный ключ через повторные неудачные попытки подписи.

Повторные попытки подписи усиливают угрозу

Уязвимость проявляется, когда злоумышленник отправляет множество неудачных сообщений подписи и анализирует ответы другого устройства-участника. Пользователям при этом показываются общие сообщения об ошибках, что скрывает реальную опасность.

Обновления в августе снизили риск

21 августа 2026 года в Android (v1.0.118, #5658) и iOS (v1.45.71, #5235) приложениях Vultisig вышли обновления, которые на уровне кода ограничивают повторные попытки злоумышленников. Теперь они связываются с идентификаторами устройств и пользователи получают предупреждения. Это предотвращает повторную обработку ошибок протокола.

Технология мультиподписей и аудит

Vultisig использует технологию мультиподписей (MPC). В 2024 году библиотека DKLS23 прошла аудит компании Trail of Bits. Однако ChainSecurity отмечает, что исправления Vultisig ещё не прошли полный аудит. Также не подтверждено, сохраняется ли защита после перезапуска устройств.

Риски для пользователей и рекомендации

Полный масштаб уязвимости и затронутые конфигурации хранилищ пока неизвестны. Информация о том, как исправления применяются автоматически и после перезапуска, ограничена. Пользователям рекомендуют своевременно обновлять ПО и проявлять осторожность. Усиление мер безопасности Vultisig важно для повышения доверия к криптокошелькам.