Атака на Coldcard: уразливість у прошивці обернулася втратою $112 млн у біткоїнах
Масштабна кампанія зі злому апаратних гаманців Coldcard призвела до крадіжки щонайменше 1778,84 BTC, що еквівалентно $112,7 млн. Мої колеги з Galaxy Research підтвердили цей збиток, зв'язавшись зі 190 постраждалими користувачами. Важливо підкреслити: атаки припинилися після 6 серпня, однак підсумкова цифра може зрости до 2417,35 BTC (~$153 млн), якщо врахувати ще непідтверджені епізоди.
Корінь проблеми — у багу п'ятирічної давності
Атака стартувала 30 липня 2026 року. Зловмисники систематично відновлювали сід-фрази, що генерувалися вразливими пристроями, і переказували кошти на свої адреси. Причина — критична помилка в прошивці Coinkite, випущеній у 2021 році. Оновлення змінило механізм генерації криптографічної ентропії, але через баг генератор випадкових чисел працював некоректно, непомітно перемикаючись на недостатньо захищене джерело.
По суті, бомба сповільненої дії цокала роками. Маючи достатні обчислювальні потужності, хакери змогли відтворити приватні ключі. Це не поодинокий випадок: Galaxy виявила сліди щонайменше 33 різних атакуючих, що вказує на одночасну експлуатацію вразливості кількома групами.
Відмивання та реакція ринку
Зі вкрадених коштів близько 1531 BTC досі залишаються під контролем зловмисників. Приблизно 246 BTC уже переміщувалися, причому 65% пройшли через CoinJoin-транзакції, що ускладнюють відстеження, а 35% — через схеми Peel Chain, класичний метод відмивання. Частину монет помічено на централізованих біржах і кроссчейн-мостах; Galaxy уже передала списки адрес правоохоронним органам і комплаєнс-компаніям.
Інцидент завдав серйозного удару по наративу самостійного зберігання. Постраждалі — не новачки, які ризикували на DeFi-платформах, а консервативні власники, що довірилися «залізу». Результат — паніка: за перші чотири дні атак на біржі надійшло понад 22 000 BTC, а до 8 серпня баланс на платформах досяг історичного максимуму в 3,683 млн BTC.
Нова реальність: мультипідпис та ШІ
Показово, що жодна підтверджена крадіжка не була скоєна з мультипідписних адрес. Сервіси на кшталт Casa та Anchorwatch уже фіксують різке зростання клієнтів. Це логічний висновок: єдина точка відмови — чи то біржа, виробник, чи сам користувач — неприйнятна.
Окремої уваги заслуговує роль ШІ. Galaxy вважає, що частина атакуючих використовувала китайські відкриті LLM без обмежень щодо кібербезпеки. Іронія в тому, що дослідники Bitcoin Red Team, навпаки, зіткнулися з блокуваннями з боку американських ШІ-компаній, що заважає захисту. На тлі втрат у $1,1 млрд за першу половину 2026 року цей випадок — тривожний дзвінок для всієї індустрії.
Мій вердикт: цей інцидент — не просто технічний збій, а фундаментальний виклик ідеї «not your keys, not your coins». Навіть найнадійніші на вигляд рішення можуть мати приховані дефекти, і диверсифікація ризиків через мультипідпис стає не опцією, а необхідністю. Ринок уже голосує біткоїнами, і це лише початок перебудови.