Масштаби шкоди від серії атак на апаратні гаманці Coldcard продовжують шокувати ринок. Згідно з моїм аналізом даних блокчейну, сукупні втрати користувачів перевищили $115 млн. Починаючи з 30 липня зловмисники вивели 1778,58 BTC з 8680 адрес. Це вже не просто інцидент — це системна загроза для індустрії холодного зберігання.
Ключовий висновок, який я роблю зі свіжих даних: вразливість має чіткі часові рамки. Усі вкрадені монети були створені після виходу прошивки від 17 березня 2021 року (блок 674 951). Жодна з постраждалих монет не з'явилася раніше цієї дати. Це прямо вказує на дефект у генерації ключів: пристрої, прошиті до релізу, виявилися невразливими, що звужує коло пошуку причин.
Середній «термін життя» спустошених адрес становив 1292 дні — близько 3,5 років. Це свідчить про те, що атакуючі діяли методично, роками очікуючи слушного моменту. Примітно, що 3 серпня я вже попереджав про нову хвилю атак на гаманці Coldcard, і тепер ці побоювання повністю підтвердилися.
Перша хвиля — найнищівніший удар
Найбільшої шкоди завдала перша атака: $70,2 млн, або 61% від усієї суми. Швидкість виведення тоді вразила навіть засновника Binance Чанпена Чжао (CZ). Кошти були переведені в межах дев'яти послідовних блоків лише за 41 хвилину. Оператор платив фіксовану комісію близько 30 сатоші за vByte і спустошував по одній адресі на транзакцію.
У першій хвилі постраждали 1195 гаманців, а вкрадені активи розділили на чотири «колектори». Для порівняння: хвиля Footprint E зачепила більше адрес — 2147 — і об'єднувала до 795 сховищ в одній транзакції. Цікаво, що значна частина коштів із першої хвилі так і залишилася недоторканою: із 108,65 BTC на місці досі зберігаються 108,57 BTC. Майже всі активи Footprint E — 209,94 BTC — уже переведені, залишилося лише 4,38 BTC.
Активи третьої хвилі переміщували за іншою схемою: біткоїни спочатку пішли на звичайні гаманці, але зараз 207,73 BTC заблоковані на скриптах-«сховищах». Це свідчить про те, що зловмисники планують довгострокове утримання, а не швидку ліквідацію.
Показово, що заяви постраждалих сильно відстають від реальності: лише 192 особи повідомили про втрати на суму 714,81 BTC — це 40,2% від усіх вкрадених монет. Окремі втрати сягають 58,97 BTC, медіанна — близько 1,03 BTC. Ще 6890 адрес із 1063,76 BTC досі не пов'язані з жодним власником.
Мій вердикт: ця атака — тривожний дзвінок для всієї індустрії. Навіть апаратні гаманці, які вважалися золотим стандартом безпеки, вразливі. Рекомендую всім власникам Coldcard перевірити дату прошивки своїх пристроїв і, за найменших сумнівів, негайно перевести кошти на нові адреси. У поточних умовах ціна обережності може вимірюватися не доларами, а цілими статками.