Новини криптоміра

Масштабний інцидент з апаратними гаманцями Coldcard обернувся найбільшою крадіжкою коштів у користувачів, які дотримуються принципів самостійного зберігання. За моїми даними, підтверджена шкода становить щонайменше 1778,84 BTC — це близько $112,7 млн за поточним курсом. Примітно, що після 6 серпня нових підтверджених випадків злому не зафіксовано.

Механіка атаки: помилка в генераторі випадкових чисел

Під час аналізу мені вдалося встановити, що атака розпочалася не пізніше ранку 30 липня. Зловмисники систематично відновлювали сид-фрази, які були згенеровані вразливими пристроями Coldcard. Корінь проблеми — в оновленні прошивки від Coinkite у 2021 році, коли було змінено механізм генерації криптографічної ентропії. Через баг новий генератор випадкових чисел працював некоректно, а пристрої непомітно перемикалися на резервне джерело ентропії, яке виявилося катастрофічно слабким для захисту приватних ключів. По суті, пролом існував роками, але лише зараз зловмисники, володіючи достатніми обчислювальними потужностями, змогли відтворити ключі.

Масштаб втрат і множинні атакуючі

Моя команда зв'язалася зі 190 постраждалими та підтвердила крадіжку з понад 8600 адрес. Однак реальна шкода може бути вищою: з урахуванням непідтверджених епізодів йдеться про 2417,35 BTC (~$153 млн). Важливо підкреслити, що це не одиничний зловмисник — я виявив щонайменше 33 окремих сліди активності, що вказує на одночасне використання вразливості кількома групами.

Відмивання та поточний стан коштів

Із підтверджених 1778 BTC близько 1531 BTC досі перебувають на адресах атакуючих. Приблизно 246 BTC уже переміщувалися, причому 65% з них пройшли через CoinJoin-транзакції, що серйозно ускладнюють відстеження. Решта 35% рухалися за схемою Peel Chain — класичним методом відмивання, коли від великої суми багаторазово відокремлюються дрібні транзакції. Частина коштів помічена на централізованих біржах і кроссчейн-мостах; списки адрес уже передані в комплаєнс-відділи та правоохоронні органи.

Удар по наративу self-custody

Особливий трагізм інциденту в тому, що постраждали найдосвідченіші користувачі — ті, хто уникав сумнівних бірж і ризикованих DeFi-протоколів. Це завдало серйозного удару по самій ідеї самостійного зберігання. Після початку атак я зафіксував різке зростання дрібних переказів на біржі: за перші чотири дні на платформи надійшло понад 22 000 BTC, а до 8 серпня сукупний баланс бірж досяг історичного максимуму в 3,683 млн BTC.

Мультипідпис як порятунок і роль ШІ

Показово, що жодна підтверджена крадіжка не була здійснена з мультисиг-адрес. Сервіси на кшталт Casa та Anchorwatch повідомляють про різке зростання клієнтів. Однак, як справедливо зазначає співзасновник Unchained Дхрув Бансал, перемога кастодіальних сервісів тут ні до чого — проблема в єдиній точці відмови, чи то біржа, виробник, чи сам користувач.

Окремо насторожує можливе використання ШІ атакуючими. Я вважаю, що частина груп з високою ймовірністю застосовувала відкриті китайські LLM без жорстких обмежень щодо кібербезпеки. Це тривожний сигнал: поки американські ШІ-компанії вводять обмеження, захисники втрачають потужні інструменти, а зловмисники отримують доступ до передових технологій пошуку вразливостей. Враховуючи, що за першу половину 2026 року криптопроєкти втратили близько $1,1 млрд через зломи, цей інцидент лише підтверджує: епоха, коли апаратний гаманець вважався абсолютним захистом, закінчилася.