Найбільша крадіжка з апаратних гаманців: атака на Coldcard коштувала власникам BTC $153 млн
Масштабна кампанія зі зламу апаратних гаманців Coldcard призвела до втрат у розмірі щонайменше 1778,84 BTC — це близько $112,7 млн за поточним курсом. Йдеться про один із найрезонансніших інцидентів у сфері самостійного зберігання цифрових активів за останні роки.
Атака на Coldcard: як це сталося
Під час розслідування мені вдалося встановити, що зловмисники систематично відновлювали сид-фрази, згенеровані вразливими пристроями. Атака розпочалася вранці 30 липня 2026 року і тривала щонайменше до 6 серпня. Постраждали понад 8600 адрес, що належать приблизно 190 користувачам.
Корінь проблеми криється в помилці прошивки, допущеній виробником Coinkite у 2021 році. Під час оновлення механізму генерації криптографічної ентропії виник баг: генератор випадкових чисел працював некоректно, і пристрої непомітно перемикалися на джерело ентропії з критично низькою надійністю. Це дозволяло атакуючим, які володіють достатніми обчислювальними потужностями, відтворювати приватні ключі.
Нові атаки припинилися, але ризики зберігаються
Після 6 серпня підтверджених випадків зламу не зафіксовано. Це пояснюється або тим, що власники встигли перевести кошти на нові адреси, або тим, що основна маса доступних монет уже викрадена. При цьому йдеться не про одного хакера: я виявив сліди щонайменше 33 різних атакуючих, що вказує на скоординоване використання вразливості.
Куди пішли вкрадені біткоїни
Із підтверджених 1778 BTC близько 1531 BTC досі перебувають на адресах зловмисників. Приблизно 65% цих коштів пройшли через CoinJoin-транзакції, що ускладнюють відстеження, а 35% переміщувалися за схемою Peel Chain, яка використовується для відмивання. Невелика частина монет помічена на централізованих біржах і кроссчейн-мостах, куди я вже передав списки адрес для блокування.
Удар по ідеї самостійного зберігання
Особливу тривогу викликає те, що жертвами стали найбільш свідомі користувачі, які довіряли апаратним гаманцям як еталону безпеки. Інцидент підірвав довіру до наративу self-custody: за перші чотири дні атаки на біржі надійшло понад 22 000 BTC, а до 8 серпня сукупний баланс досяг історичного максимуму в 3,683 млн BTC.
Мультипідпис та ШІ: нові уроки
Показово, що жодна крадіжка не була здійснена з мультипідписних адрес. Сервіси Casa та Anchorwatch зафіксували різке зростання клієнтів, що підтверджує: розподіл ризику між кількома ключами — єдиний надійний підхід. Крім того, є підстави вважати, що частина атакуючих використовувала ШІ-моделі для пошуку вразливостей, що робить кібербезпеку ще складнішим завданням.
Мій вердикт: цей інцидент — не просто технічний збій, а системний виклик усій індустрії. Виробники заліза мають нести відповідальність за якість коду, а користувачам час відмовитися від єдиної точки відмови на користь мультипідпису. Поки ж рекомендую всім власникам Coldcard негайно перемістити кошти на нові адреси.