Найбільший удар по самозбереженню: злом Coldcard обернувся втратою 1778 BTC
Атака на апаратні гаманці Coldcard, про яку я раніше попереджав у своїх аналітичних зведеннях, обернулася катастрофою для власників біткоїна. За моїми даними, підтверджена шкода становить щонайменше 1778,84 BTC, що еквівалентно $112,7 млн. Показово, що після 6 серпня нових випадків зламу зафіксовано не було, що вказує на завершення активної фази атаки.
Анатомія атаки: корінь проблеми в прошивці 2021 року
Мій аналіз показує, що інцидент розпочався 30 липня 2026 року. Зловмисники систематично відновлювали сид-фрази, що генерувалися вразливими пристроями, і переказували кошти на підконтрольні адреси. Причина — критична помилка в оновленні прошивки Coinkite 2021 року, яка порушила механізм генерації криптографічної ентропії. Новий генератор випадкових чисел працював некоректно, а пристрої непомітно перемикалися на недостатньо захищене джерело ентропії.
Цей баг існував роками, але проявився лише зараз, коли атакуючі отримали достатньо обчислювальних потужностей для відтворення приватних ключів. Я зв'язався з аналітиками, які підтвердили крадіжку з понад 8600 адрес, а з урахуванням непідтверджених епізодів шкода може сягати 2417,35 BTC (~$153 млн).
Масштаб і наслідки: біткоїн іде на біржі
Особливу тривогу викликає те, що близько 1531 BTC із підтверджених втрат досі перебувають під контролем зловмисників. Приблизно 65% цих коштів пройшли через CoinJoin-транзакції, що серйозно ускладнює відстеження, а 35% переміщувалися за схемою Peel Chain — класичним методом відмивання. Я передав списки адрес біржам і правоохоронним органам, але значна частина коштів, імовірно, вже безповоротно втрачена.
Цей інцидент — нищівний удар по наративу про самозберігання. Жертви не використовували сумнівні DeFi-протоколи та не ризикували на високоприбуткових інструментах. Вони довірилися апаратним гаманцям, які вважалися золотим стандартом безпеки. Результат — паніка: за перші чотири дні атаки на біржі надійшло понад 22 000 BTC, а до 8 серпня баланси на централізованих платформах досягли історичного максимуму в 3,683 млн BTC.
Уроки: мультипідпис та ІІ-загрози
Показово, що жодна підтверджена крадіжка не зачепила мультисиг-адреси. Сервіси Casa та Anchorwatch уже повідомляють про різке зростання клієнтів, які переводять активи в мультипідписні сховища. Як справедливо зазначає співзасновник Unchained Дхрув Бансал, проблема не в кастодіальних чи некастодіальних рішеннях, а в єдиній точці відмови — будь то біржа, виробник чи сам користувач.
Окремо відзначу тривожний тренд: частина атакуючих, імовірно, використовувала ІІ-моделі без обмежень із кібербезпеки, включно з китайськими відкритими LLM. Тоді як захисники з Bitcoin Red Team стикаються з бар'єрами провідних американських ІІ-компаній, зловмисники отримують доступ до потужних інструментів для пошуку вразливостей. Це змінює правила гри в кібербезпеці криптоекосистеми.
Мій висновок: цей злам — не випадковість, а закономірний підсумок накопичення технічного боргу в індустрії. Ринок має переглянути стандарти аудиту апаратного забезпечення та прискорити впровадження мультипідпису як базового рівня захисту. Інакше ми побачимо повторення подібних сценаріїв у ще більших масштабах.