Новини криптоміра

Масштабний інцидент з апаратними гаманцями Coldcard обернувся втратою щонайменше 1778,84 BTC, що еквівалентно $112,7 млн. Мої колеги з Galaxy Research підтвердили крадіжку коштів з понад 8600 адрес, зв'язавшись зі 190 постраждалими. При цьому реальні збитки, ймовірно, вищі: з урахуванням непідтверджених епізодів може йтися про 2417,35 BTC (~$153 млн). Важливо зазначити, що після 6 серпня нових підтверджених зламів не зафіксовано.

Корінь проблеми — помилка в генерації ентропії

Атака розпочалася 30 липня 2026 року. Зловмисники систематично відновлювали сид-фрази, створені вразливими пристроями. Причина криється в оновленні прошивки Coinkite у 2021 році: зміна механізму генерації криптографічної ентропії призвела до критичного бага. Генератор випадкових чисел працював некоректно, і пристрої непомітно перемикалися на джерело ентропії, недостатнє для захисту приватних ключів. Проблема існувала роками, але лише зараз, з достатніми обчислювальними потужностями, хакери змогли відтворити ключі.

Припинення атак і сліди численних зловмисників

Galaxy припускає, що атаки зійшли нанівець з двох причин: або власники встигли перевести кошти, або більша частина доступних активів уже викрадена. Користувачам, які досі зберігають біткоїни на однопідписних Coldcard, я наполегливо рекомендую негайно перемістити кошти. Примітно, що йдеться не про одного хакера — дослідники виявили щонайменше 33 додаткові сліди активності, що вказує на одночасне використання вразливості кількома групами.

Доля викрадених коштів

Із підтверджених 1778 BTC близько 1531 BTC залишаються на адресах зловмисників. Приблизно 246 BTC уже переміщувалися, причому 65% пройшли через CoinJoin-транзакції, що ускладнюють відстеження, а 35% — за схемою Peel Chain, типовою для відмивання. Невелика частина помічена на біржах і кроссчейн-мостах; Galaxy уже передала списки адрес біржам і правоохоронцям.

Удар по ідеї self-custody

Особливий трагізм інциденту в тому, що жертвами стали користувачі, які максимально відповідально підходили до зберігання: без сумнівних бірж, ризикованих DeFi-протоколів чи хайп-інструментів. Вони довірилися апаратним гаманцям — золотому стандарту безпеки. Це завдало серйозного удару по наративу self-custody: за перші чотири дні атак на біржі надійшло понад 22 000 BTC, а до 8 серпня сукупний баланс досяг історичного максимуму в 3,683 млн BTC.

Мультипідпис як рішення

Показово, що жодна підтверджена крадіжка не була здійснена з мультисиг-адрес. Сервіси Casa та Anchorwatch фіксують різке зростання клієнтів, а співзасновник Unchained Дхрув Бансал справедливо зазначає: проблема не в кастодіальних vs некастодіальних рішеннях, а в єдиній точці відмови. Чи то біржа, виробник чи сам користувач — будь-який одиничний елемент стає вразливістю. Розподіл ризику між кількома ключами — ось урок цього інциденту.

ШІ на боці атакуючих

Тривожний аспект — ймовірне використання ШІ-моделей без обмежень, включно з китайськими відкритими LLM. Це підкреслює зростаючий розрив: поки американські компанії вводять жорсткі рамки для захисту, дослідники з Bitcoin Red Team стикаються з перешкодами, а зловмисники отримують доступ до потужних інструментів для пошуку експлойтів. На тлі рекордних $1,1 млрд збитків від зламів у першій половині 2026 року цей випадок — дзвінок для всієї індустрії.

Мій аналіз: цей інцидент — не просто технічний збій, а системний виклик. Він демонструє, що навіть найнадійніші рішення можуть містити приховані дефекти, а довіра до єдиного пристрою — ризикована стратегія. Ринку потрібні стандарти аудиту апаратного забезпечення та стимули для мультисиг-адопції, інакше ми побачимо повторення подібних катастроф.