Баг в функции JavaScript подвергает адреса Bitcoin риску брутфорса

Баг в функции JavaScript подвергает адреса Bitcoin риску брутфорса

Баг в функции JavaScript подвергает адреса Bitcoin риску брутфорса

Специалисты в области кибербезопасности предупреждают, что старые адреса Bitcoin, сгенерированные в браузере или через приложения на основе JavaScript, могут содержать недостаток, благодаря которому злоумышленники могут провести атаку брутфорс закрытых ключей, завладеть кошельками пользователей и украсть их средства.

Уязвимость существует из-за функции JavaScript SecureRandom(), которая используется для генерации случайного Bitcoin-адреса и его закрытого ключа (некого аналога пароля). Вся проблема заключается в том, что эта функция не генерирует по-настоящему случайные данные.

«Функция будет генерировать ключи, которые, несмотря на их длину, имеют менее 48 бит энтропии. Таким образом, на выходе будет не более тех же 48 бит. Затем SecureRandom() запускает номер, который он получает через устаревший алгоритм RC4, что еще снижает количество бит энтропии. Следовательно, ваш ключ становится более предсказуем», — уточнил обнаруживший брешь эксперт.

Напрашивается вывод — все адреса Bitcoin, созданные с использованием функции SecureRandom(), уязвимы для атак брутфорс, с помощью которых можно угадать закрытый ключ учетной записи.

Специалисты отмечают, что уязвимы все адреса Bitcoin, созданные с использованием BitAddress до 2013 года, а также Bitcoinjs до 2014 года. Wallet-приложения, использующие старые версии jsbn.js, по-прежнему генерируют слабые секретные ключи, которые легко сбрутфорсить.

МВД попросило россиян не выкладывать в соцсети досье на самих себя

МВД России призвало граждан поменьше рассказывать о себе и близких в социальных сетях. Места учёбы и работы, домашний адрес, сведения о семье — всё это лучше оставить за пределами публичного профиля,

Как сообщает РИА Новости со ссылкой на материалы ведомства, такой цифровой автопортрет может заинтересовать вербовщиков.

Собранные сведения позволяют им изучить потенциальную жертву, найти уязвимые места и подобрать подходящий сценарий общения.

В МВД также советуют не устраивать на публике подробные дискуссии о своих взглядах и не отвечать на личные вопросы незнакомцев. Перед разговором стоит проверить, кому принадлежит профиль. Если собеседник вызывает подозрения, его рекомендуют отправить в чёрный список, а заодно пожаловаться модераторам площадки.

Это уже не первое подобное предупреждение ведомства. В октябре 2025 года МВД напоминало, что опубликованные персональные данные могут стать подарком для мошенников. Россиянам советовали не указывать в открытом доступе полные ФИО и дату рождения, а также не выкладывать сведения, по которым можно собрать дополнительную информацию.

Соцсеть давно перестала быть просто альбомом с отпускными фотографиями. Для злоумышленника это готовая анкета: где человек живёт, работает, учится, с кем общается и чему доверяет. Поэтому правило простое: чем меньше незнакомцы знают о вашей жизни, тем сложнее написать для вас персональный сценарий обмана или вербовки.

RSS: Новости на портале Anti-Malware.ru