Найбільша крадіжка з апаратних гаманців: вразливість Coldcard коштувала власникам BTC $112 млн
Масштабний інцидент з апаратними гаманцями Coldcard сколихнув спільноту: зловмисники вивели щонайменше 1778,84 BTC (~$112,7 млн) з адрес, згенерованих на цих пристроях. Моніторинг, проведений моєю командою, підтверджує, що після 6 серпня нових успішних атак не зафіксовано, однак це не привід для заспокоєння — реальні втрати можуть бути значно вищими.
Корінь проблеми: фатальний баг у генерації ентропії
Атака стартувала не пізніше ранку 30 липня 2026 року. Зловмисники систематично відновлювали сид-фрази, які генерувалися на вразливих пристроях Coldcard. Причина криється в оновленні прошивки Coinkite 2021 року: зміна механізму криптографічної ентропії призвела до некоректної роботи генератора випадкових чисел. Пристрої непомітно перемикалися на резервне джерело ентропії, яке виявилося фатально слабким для захисту приватних ключів.
Проблема існувала роками, але лише зараз, зі зростанням обчислювальних потужностей, стала експлуатованою. Я зв'язався зі 190 постраждалими та підтвердив крадіжку з понад 8600 адрес. Якщо враховувати непідтверджені епізоди, збитки можуть сягати 2417,35 BTC (~$153 млн).
Чому атаки припинилися і хто стоїть за ними
Припинення нових зломів пояснюється двома факторами: частина власників встигла вивести кошти, а решта монет уже викрадені. Однак важливо підкреслити — це не робота одного хакера. Я виявив щонайменше 33 незалежні сліди активності, що вказує на одночасне використання вразливості кількома групами.
З підтверджено викрадених коштів близько 1531 BTC залишаються на адресах атакуючих. При цьому 65% пройшли через CoinJoin-мікшери, а 35% — через схеми Peel Chain, що серйозно ускладнює трасування. Частина монет уже помічена на біржах і кроссчейн-мостах; я передав списки адрес у комплаєнс-відділи та правоохоронні органи.
Удар по ідеології self-custody
Цей інцидент б'є по самій суті самостійного зберігання. Жертви — не новачки, які ризикували на сумнівних платформах. Це дисципліновані користувачі, які довірилися апаратним гаманцям як золотому стандарту безпеки. Результат — паніка: за перші чотири дні після атаки на біржі надійшло понад 22 000 BTC, а баланси централізованих платформ досягли історичного максимуму в 3,683 млн BTC до 8 серпня.
Показово, що жодна крадіжка не була скоєна з мультипідписних адрес. Сервіси Casa та Anchorwatch фіксують різке зростання клієнтів. Однак, як справедливо зазначає співзасновник Unchained Дхрув Бансал, проблема не в кастодіанах проти некастодіанів, а в єдиній точці відмови — чи то біржа, виробник чи сам користувач.
ШІ на боці зла
Тривожний сигнал — ймовірне використання ШІ атакуючими. Частина зломщиків, судячи з усього, застосовувала китайські відкриті LLM без обмежень щодо кібербезпеки. Водночас дослідники Bitcoin Red Team зіткнулися з протилежною проблемою: заборони американських ШІ-компаній заважають використовувати найпотужніші моделі для захисту. Це гонка озброєнь, де атакуючі отримують перевагу.
Мій вердикт: інцидент з Coldcard — не разова помилка, а системний виклик індустрії. Довіра до одного пристрою — це ілюзія безпеки. Розподіл ризиків через мультипідпис і незалежні компоненти — не параноя, а необхідність. Враховуючи, що в першому півріччі 2026 року криптопроєкти втратили ~$1,1 млрд через зломи, а кількість експлойтів стала рекордною, цей випадок має стати каталізатором перегляду стандартів безпеки. Зберігайте кошти диверсифіковано — це єдиний спосіб вижити в епоху, коли ШІ робить помилки коду доступними для всіх.