Найбільший удар по самокастоді: хакери вивели 1778 BTC з апаратних гаманців Coldcard
Масштабна кампанія проти власників апаратних гаманців Coldcard обернулася викраденням щонайменше 1778,84 BTC, що еквівалентно $112,7 млн. Мої колеги з Galaxy Research підтвердили щонайменше 190 постраждалих і понад 8600 скомпрометованих адрес. При цьому, якщо враховувати непідтверджені епізоди, реальні збитки можуть сягати 2417,35 BTC (~$153 млн). Після 6 серпня нових підтверджених зламів не зафіксовано.
Корінь проблеми: дефектний генератор ентропії
Атака розпочалася 30 липня 2026 року. Зловмисники систематично відновлювали сид-фрази, згенеровані вразливими пристроями. Причина — помилка в прошивці Coinkite 2021 року. Оновлення змінило механізм генерації криптографічної ентропії, але через баг пристрої непомітно перемикалися на джерело з недостатньою випадковістю. Проблема існувала роками, але лише зараз в атакуючих з'явилися обчислювальні потужності для відтворення приватних ключів.
Припинення атак і множинні сліди
Galaxy припускає, що атаки зійшли нанівець або через міграцію коштів користувачів, або через вичерпання «легкого видобутку». Важливо, що це не робота одинака: дослідники виявили щонайменше 33 окремі сліди активності, що вказує на одночасне використання вразливості кількома угрупованнями. Усім власникам однопідписних Coldcard наполегливо рекомендую негайно перемістити активи.
Доля викрадених монет
Із підтверджених 1778 BTC близько 1531 BTC досі перебувають на адресах зловмисників. Решта ~246 BTC уже переміщувалися: 65% пройшли через CoinJoin для заплутування слідів, а 35% — за схемою Peel Chain, де великі суми дробляться мікротранзакціями. Частину коштів помічено на централізованих біржах і кроссчейн-мостах. Galaxy передала списки адрес біржам і правоохоронцям.
Іронія долі та удар по наративу
Головний удар завдано по ідеології самокастоді. Постраждалі — не безрозсудні спекулянти, а консерватори, які довірилися «неприступним» апаратним гаманцям. Після початку атак на біржі хлинув потік: за перші чотири дні — понад 22 000 BTC, а до 8 серпня баланс на платформах досяг історичного максимуму в 3,683 млн BTC. Це класична реакція страху.
Мультипідпис як порятунок
Показово, що жодна підтверджена крадіжка не зачепила мультисиг-адреси. Сервіси Casa та Anchorwatch фіксують різкий приплив клієнтів. Однак, як слушно зазначає Дхрув Бансал з Unchained, перемога кастодіальних рішень — ілюзія. Проблема в єдиній точці відмови, чи то біржа, вендор, чи сам користувач. Розподіл ризику між кількома ключами — єдиний розумний шлях.
ШІ на боці зла
Окремо відзначу тривожний сигнал: Galaxy з високою ймовірністю пов'язує частину атак із використанням китайських відкритих LLM без обмежень із кібербезпеки. Поки дослідники Bitcoin Red Team страждають від цензури американських ШІ-моделей, зловмисники отримують доступ до потужних інструментів пошуку вразливостей. Це лише підкреслює: у першій половині 2026 року збитки від зламів уже сягнули $1,1 млрд, і ми, ймовірно, побачимо нові рекорди.
Мій вердикт: Цей інцидент — не просто технічний збій, а фундаментальний виклик довірі до апаратних гаманців. Він доводить, що навіть «холодне» зберігання не є абсолютним захистом, якщо в ланцюжку генерації ключів є прихований дефект. Інвесторам варто переглянути стратегії: мультипідпис і диверсифікація інфраструктури стають не опцією, а необхідністю.