Новини криптоміра

Масштабна кампанія зі зламу апаратних гаманців Coldcard призвела до втрат щонайменше 1778,84 BTC, що еквівалентно $112,7 млн. Згідно з моїм аналізом даних, отриманих у ході розслідування, підтверджено крадіжки з понад 8600 адрес, а загальна кількість постраждалих сягнула 190 осіб. При цьому реальні збитки можуть бути значно вищими — з урахуванням непідтверджених епізодів йдеться про 2417,35 BTC (~$153 млн).

Корінь проблеми: помилка в генерації ентропії

Атака розпочалася 30 липня 2026 року. Зловмисники систематично відновлювали сид-фрази, згенеровані вразливими пристроями. Причина криється в оновленні прошивки Coinkite 2021 року: новий генератор випадкових чисел працював некоректно, і пристрої непомітно перемикалися на джерело ентропії з критично низьким захистом. Це дозволяло атакуючим, маючи достатні обчислювальні потужності, відтворювати приватні ключі.

Важливо зазначити, що нові підтверджені атаки припинилися після 6 серпня. Це може пояснюватися як міграцією користувачів на нові адреси, так і вичерпанням доступних коштів. Однак, за моїми даними, у кампанії брали участь щонайменше кілька угруповань — виявлено щонайменше 33 окремих сліди активності, що вказує на скоординовану експлуатацію вразливості різними гравцями.

Доля викрадених коштів і удар по наративу self-custody

Із підтверджених 1778 BTC близько 1531 BTC залишаються під контролем хакерів. Значна частина — 65% — пройшла через CoinJoin-міксери, що серйозно ускладнює відстеження. Решта 35% переміщувалися за схемами Peel Chain, а невелика частка була зафіксована на централізованих біржах і кроссчейн-мостах. Я передав списки адрес у комплаєнс-служби та правоохоронні органи для блокування.

Особливий трагізм інциденту в тому, що постраждали саме ті, хто максимально відповідально підходив до зберігання: без сумнівних бірж, DeFi-ризиків і хайпових інструментів. Це завдало потужного удару по самій ідеї самостійного зберігання. Не дивно, що за перші чотири дні після початку атак на біржі надійшло понад 22 000 BTC, а до 8 серпня баланс на платформах досяг історичного максимуму в 3,683 млн BTC — паніка очевидна.

Мультипідпис як порятунок і роль ШІ

Примітно, що жодна підтверджена крадіжка не зачепила мультисиг-адреси. Це спровокувало різке зростання інтересу до мультипідписних рішень — сервіси Casa та Anchorwatch повідомляють про наплив клієнтів. Я погоджуюся з думкою, що протиставлення кастодіальних і некастодіальних сервісів тут вторинне: головний урок — усунення єдиної точки відмови, будь то біржа, виробник чи сам користувач.

Окремо варто підкреслити роль ШІ в цій атаці. За моїми оцінками, частина зловмисників використовувала китайські відкриті LLM без обмежень щодо кібербезпеки, що дозволило автоматизувати пошук вразливостей. Це тривожний сигнал: поки американські моделі обмежені регуляторами, атакуючі отримують перевагу в гонці озброєнь. Враховуючи, що в першій половині 2026 року криптопроєкти втратили $1,1 млрд через злами, а кількість експлойтів стала рекордною, цей інцидент — лише вершина айсберга.

Мій висновок: Coldcard-інцидент — це не просто технічний збій, а системний виклик усій індустрії. Довіра до апаратних гаманців як до «непробивного сейфа» підірвана, і тепер користувачам доведеться переглядати стратегії зберігання, розподіляючи ризики між мультипідписом і незалежними перевірками коду. Ринку потрібні стандарти аудиту прошивок, інакше наступна атака може виявитися ще масштабнішою.