Взлом Coldcard привел к краже более 1700 BTC из аппаратных кошельков

Взлом Coldcard привел к краже как минимум 1778,84 BTC, стоимость которых оценивается примерно в $112,7 млн.

По данным Galaxy Research, новые подтвержденные случаи атак после 6 августа 2026 года пока не зафиксированы. При этом число пострадавших продолжает расти по мере появления новых обращений.

Исследователи связались со 190 владельцами кошельков и подтвердили кражу биткоинов более чем с 8600 адресов.

Потери могут превышать $150 млн

Подтвержденный объем похищенных средств составляет 1778,84 BTC.

Однако Galaxy Research допускает, что реальные потери значительно выше.

Если учитывать пока неподтвержденные случаи, общий объем украденного может достигать 2417,35 BTC, или примерно $153 млн.

Таким образом, расследование еще не завершено, а итоговый ущерб может увеличиться.

Как работала атака на Coldcard

По данным исследователей, атаки начались не позднее утра 30 июля 2026 года.

Злоумышленники систематически восстанавливали сид-фразы, которые были созданы уязвимыми аппаратными кошельками Coldcard.

Получив возможность вычислить приватные ключи, они переводили биткоины на подконтрольные адреса.

Причина оказалась связана не с фишингом или ошибкой владельцев, а с программной уязвимостью самого устройства.

Проблема появилась еще в 2021 году

В 2021 году производитель Coldcard, компания Coinkite, изменил механизм генерации криптографической энтропии в прошивке устройств.

Из-за ошибки генератор случайных чисел работал некорректно.

В отдельных случаях устройства незаметно переключались на другой источник энтропии, который оказался недостаточно надежным для формирования защищенных приватных ключей.

Проблема могла существовать несколько лет незаметно для пользователей.

Хакеры смогли воспроизводить приватные ключи

Критическая особенность уязвимости заключается в предсказуемости генерируемых данных.

При наличии достаточных вычислительных ресурсов атакующие смогли воспроизводить приватные ключи, созданные на уязвимых устройствах.

Это позволило получить доступ к биткоинам без физического владения самим аппаратным кошельком.

По сути, устройство, которое пользователь считал холодным и безопасным хранилищем, в определенных случаях создавало ключи с недостаточным уровнем случайности.

Новые подтвержденные атаки прекратились после 6 августа

Galaxy Research сообщает, что последняя подтвержденная цепочка атак относится к 6 августа.

После этой даты новые владельцы продолжают сообщать о потерях, однако исследователи пока не обнаружили подтвержденных новых эпизодов кражи.

Причин может быть несколько.

Часть владельцев успела перевести активы на новые адреса после публикации информации об уязвимости.

Также возможно, что значительная часть доступных злоумышленникам средств уже была похищена.

В атаке могли участвовать несколько групп

Исследование указывает, что речь, вероятно, идет не об одном злоумышленнике.

Galaxy обнаружила как минимум 33 дополнительных следа активности.

На основании анализа транзакций исследователи считают высокой вероятность того, что уязвимость одновременно использовали несколько независимых атакующих.

Это существенно усложняет отслеживание похищенных средств.

Большая часть украденных BTC пока не перемещалась

Из подтвержденных 1778 BTC примерно 1531 BTC остаются на адресах, которые контролируются злоумышленниками.

Еще около 246 BTC уже перемещались после кражи.

Исследователи продолжают отслеживать движение этих активов.

Хакеры использовали CoinJoin и Peel Chain

Около 65% перемещенных средств прошли через транзакции CoinJoin.

Этот механизм смешивает несколько переводов и усложняет определение происхождения конкретных монет.

Оставшиеся средства перемещались по другим цепочкам транзакций, включая Peel Chain.

При такой схеме от крупного баланса постепенно отделяются небольшие суммы, а основная часть каждый раз переводится на новый адрес.

Это затрудняет расследование и позволяет постепенно распределять средства.

Часть криптовалюты попала на биржи и мосты

Небольшая доля украденных биткоинов была обнаружена на централизованных криптобиржах и кроссчейн-мостах.

Galaxy передала связанные с атакой адреса:

• криптовалютным биржам;
• комплаенс-компаниям;
• блокчейн-аналитикам;
• правоохранительным органам.

Это может позволить блокировать часть средств в момент их взаимодействия с регулируемой инфраструктурой.

Инцидент ударил по идее холодного хранения

Особенность атаки заключается в профиле пострадавших.

Многие владельцы Coldcard сознательно избегали хранения средств на биржах и не использовали высокорисковые DeFi-протоколы.

Они выбрали аппаратные кошельки именно ради повышения безопасности.

Поэтому инцидент стал серьезным ударом по представлению о том, что само по себе холодное хранение полностью защищает пользователя от технических рисков.

Биткоины начали перемещать на биржи

После появления информации об атаке Galaxy зафиксировала рост небольших переводов BTC на централизованные площадки.

За первые четыре дня на биржи поступило более 22 000 BTC.

К 8 августа их совокупный баланс достиг 3,683 млн BTC, что в исходном материале названо историческим максимумом.

Такое поведение может отражать стремление части владельцев временно вывести средства из потенциально уязвимых кошельков.

Интерес к мультисигу резко вырос

Одним из главных последствий инцидента стал рост интереса к мультиподписным кошелькам.

Galaxy подчеркивает, что ни одна подтвержденная кража не произошла с адресов, защищенных мультиподписью.

Представители Casa и Anchorwatch сообщили о росте числа новых клиентов и объема биткоинов, переводимых в такие хранилища.

При мультисиге для проведения транзакции требуется несколько независимых ключей.

Это устраняет ситуацию, когда компрометация одного устройства автоматически дает злоумышленнику полный контроль над активами.

Главная проблема — единая точка отказа

Сооснователь Unchained Дхрув Бансал считает, что инцидент не следует воспринимать как доказательство превосходства кастодиального хранения над самостоятельным.

Ключевой риск — наличие единой точки отказа.

Ей может стать:

• криптобиржа;
• производитель аппаратного кошелька;
• конкретное устройство;
• один приватный ключ;
• сам пользователь.

Мультисиг позволяет распределять этот риск между несколькими независимыми компонентами.

ИИ мог использоваться при поиске уязвимости

Galaxy Research отдельно указала на возможное применение искусственного интеллекта.

Исследователи считают, что часть атакующих могла использовать ИИ-модели без жестких ограничений по кибербезопасности, включая открытые китайские LLM.

Такие инструменты способны ускорять анализ исходного кода и поиск потенциальных ошибок.

При этом специалисты Bitcoin Red Team после атаки начали массово проверять кодовую базу криптовалютных проектов на похожие проблемы.

Что это значит для инвестора?

Новость имеет негативное значение для инфраструктуры хранения криптовалют, но не является прямым сигналом для цены BTC. Главный вывод заключается в том, что аппаратный кошелек сам по себе не устраняет все риски: ошибка в генерации приватного ключа способна сделать бессмысленной физическую защиту устройства. Для крупных сумм инвестору стоит рассматривать разделение рисков между несколькими независимыми ключами и мультисиг-схемами, а также внимательно следить за обновлениями производителей. Вывод Expert Finance: холодный кошелек защищает от многих угроз, но если слабость заложена в самом ключе, холодным может оказаться только чувство владельца после пропажи биткоинов.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.