Как дефектный генератор случайных чисел слил $5 млн из кошельков

В мае 2026 года у пользователей некастодиальных криптокошельков — то есть таких, где ключи хранит сам человек, а не биржа — начали пропадать средства без ввода пароля и без физического доступа к устройству. Причина оказалась в дефекте генератора случайных чисел (RNG), который используется при создании seed-фразы — набора слов, восстанавливающего доступ к кошельку, сообщает Cryptonomist.

В норме seed-фраза должна быть криптографически непредсказуемой — количество возможных комбинаций настолько велико, что перебор (брутфорс) физически невозможен даже с современными вычислительными мощностями. Дефектный RNG резко сужает это пространство возможных комбинаций, делая вывод генератора «значительно легче угадать, чем должно быть» — и именно это открывает дорогу для систематического восстановления чужих seed-фраз злоумышленниками.

По состоянию на май 2026 года зафиксировано около $5 млн украденных средств в сотнях подтверждённых случаев, затронувших тысячи блокчейн-адресов по всему миру. Расследование ведут сразу два независимых агентства безопасности — CertiK и PeckShield, готовящие технический разбор уязвимости.

К чему это ведёт: пользователям, хранящим средства в некастодиальных кошельках, имеет смысл проверить, каким именно способом и на каком устройстве генерировалась их seed-фраза — особенно если кошелёк создавался на менее известном или давно не обновлявшемся приложении. Дефект в RNG — это не ошибка пользователя и не фишинг, а брешь на уровне программного обеспечения, которую невозможно заметить без специального аудита.

Ничего из вышеперечисленного не стоит воспринимать как персональную инвестиционную рекомендацию.