В кошельке Tangem обнаружена уязвимость, связанная с утечкой приватных ключей, риски для средств тысяч пользователей еще предстоит оценить.

Поставщик криптовалютных кошельков Tangem недавно признал наличие серьезной уязвимости в своем мобильном приложении — приватные ключи пользователей при создании кошелька ошибочно записывались в журналы приложения, к которым имела доступ команда поддержки, а также эти журналы могли попадать в электронную почту сотрудников и систему тикетов.

Хронология событий

29 декабря: Пользователь Reddit u/areklanga впервые сообщил об этой уязвимости, обвинив Tangem в медленной реакции на ранние сообщения и отметив, что приватные ключи могли сохраняться в нескольких местах.

30 декабря: Официальный ответ Tangem — признание проблемы как бага обработки логов приложения, который был исправлен, а все журналы и вложения, отправленные в службу поддержки, по заявлению компании, были удалены навсегда.

31 декабря: Сообщество заметило, что Tangem не выпустил официальное уведомление ни в одном из каналов (Twitter/Discord/Telegram), что вызвало кризис доверия.

Масштаб и риски

Пострадала определенная группа пользователей: те, кто отправил запрос в поддержку сразу после генерации seed-фразы. Tangem утверждает, что пострадавших “немного”, но точных цифр не приводит. Приватные ключи могли оказаться:

• В истории электронной почты пользователя
• В электронных почтовых ящиках сотрудников Tangem
• В системе трекинга тикетов Tangem

Реакция сообщества

Криптосообщество негативно оценивает действия Tangem:

• Задержка с ответом: после первого сообщения о проблеме прошло более 24 часов до подтверждения
• Непрозрачная коммуникация: официальные соцсети долго молчали, ответ был только в постах разработчиков
• Размытые данные: не раскрыты общее количество пострадавших пользователей и масштаб затронутых средств
• Скрытие информации: некоторые посты на Reddit были удалены без объяснения причин

Текущие рекомендации

Tangem уже выпустил обновление для предотвращения дальнейших утечек. Всем пользователям необходимо немедленно обновить приложение, пострадавшие пользователи были уведомлены напрямую. Однако сообщество призывает Tangem провести комплексный аудит безопасности и повысить прозрачность.

Ключевой вопрос: Срок хранения приватных ключей в логах приложения до сих пор не уточнен, поэтому полностью исключить риск повторной утечки невозможно.