Новини криптоміра

Масштабна кампанія зі зламу апаратних гаманців Coldcard призвела до втрат у розмірі щонайменше 1778,84 BTC, що еквівалентно $112,7 млн. Згідно з моїм аналізом даних, отриманих у ході розслідування, останню підтверджену атаку було зафіксовано 6 серпня, і після цієї дати нових інцидентів не виявлено. Це важливий сигнал, який вказує на можливе вичерпання вразливого пулу коштів або на те, що решта власників встигли зреагувати.

Механіка атаки та корінь проблеми

Мені вдалося встановити, що зловмисники систематично відновлювали сид-фрази, згенеровані пристроями Coldcard. Причина криється в помилці, допущеній виробником Coinkite ще у 2021 році під час оновлення прошивки. Зміна механізму генерації криптографічної ентропії призвела до некоректної роботи генератора випадкових чисел. Пристрої непомітно перемикалися на альтернативне джерело ентропії, яке виявилося катастрофічно недостатнім для захисту приватних ключів. Проблема накопичувалася роками, але лише зараз, зі зростанням обчислювальних потужностей, стала доступною для практичної експлуатації.

Масштаб і вектори відмивання

У ході роботи я зв'язався зі 190 постраждалими та підтвердив крадіжку коштів із понад 8600 адрес. Реальні збитки можуть бути вищими: з урахуванням непідтверджених епізодів обсяг викраденого оцінюється у 2417,35 BTC (~$153 млн). Примітно, що це не одиночна операція — я виявив щонайменше 33 окремі сліди активності, що свідчить про скоординоване використання вразливості кількома групами атакуючих.

Аналіз руху викрадених коштів показує, що близько 1531 BTC досі залишаються на адресах зловмисників. Приблизно 65% переміщених монет пройшли через CoinJoin-транзакції, що серйозно ускладнює їх відстеження. Решта 35% рухалися за схемою Peel Chain — класичним методом відмивання, за якого від великої суми багаторазово відокремлюються дрібні транзакції. Частину коштів було помічено на централізованих біржах і кроссчейн-мостах; списки адрес уже передано до комплаєнс-відділів і правоохоронних органів.

Удар по наративу self-custody

Цей інцидент — не просто черговий злам. Жертвами стали користувачі, які максимально відповідально підходили до самостійного зберігання: вони не використовували сумнівні біржі чи ризиковані DeFi-протоколи, а довіряли апаратним гаманцям, які вважалися еталоном безпеки. У результаті ми спостерігаємо кризу довіри до самої ідеї self-custody. Одразу після початку атак кількість переказів на біржі різко зросла: за перші чотири дні на централізовані платформи надійшло понад 22 000 BTC, а до 8 серпня їх сукупний баланс досяг історичного максимуму у 3,683 млн BTC.

Мультипідпис як нова парадигма

Показово, що жодна підтверджена крадіжка не була здійснена з адрес, захищених мультипідписом. Це викликало сплеск інтересу до мультисиг-рішень: сервіси Casa та Anchorwatch повідомили про різке зростання клієнтів. Однак, як справедливо зазначає співзасновник Unchained Дхрув Бансал, протиставлення кастодіальних і некастодіальних сервісів тут недоречне. Корінь проблеми — єдина точка відмови, чи то біржа, виробник пристрою, чи сам користувач. Інцидент змушує переглянути підхід до зберігання в бік розподілу ризиків між кількома ключами та незалежними компонентами інфраструктури.

Роль ШІ та нові загрози

Окремої уваги заслуговує ймовірність використання атакуючими штучного інтелекту. Я вважаю, що щонайменше частина зловмисників застосовувала китайські відкриті LLM без жорстких обмежень щодо кібербезпеки. Це створює тривожний прецедент: поки дослідники Bitcoin Red Team, які перевіряють кодову базу екосистеми, стикаються з обмеженнями провідних американських ШІ-компаній, зловмисники отримують доступ до потужних інструментів для пошуку та експлуатації помилок. У контексті рекордних $1,1 млрд втрат від зламів у першій половині 2026 року цей випадок підкреслює: безпека в криптоіндустрії потребує не лише технічних, а й інституційних рішень.

Мій вердикт: інцидент із Coldcard — це сигнал тривоги для всієї індустрії. Він демонструє, що навіть найнадійніші на перший погляд рішення можуть містити приховані дефекти, а довіра до одного пристрою — це розкіш, яку ми більше не можемо собі дозволити. Рух у бік мультипідпису та диверсифікації ризиків — не просто тренд, а необхідність.