Новости криптомира

Масштабная кампания по взлому аппаратных кошельков Coldcard обернулась крупнейшим подтвержденным уроном для держателей биткоина: злоумышленники вывели не менее 1778,84 BTC, что эквивалентно $112,7 млн. По моим данным, последняя успешная атака была зафиксирована 6 августа, и после этой даты новых случаев эксплуатации уязвимости не выявлено.

Анатомия взлома: ошибка в прошивке 2021 года

В ходе расследования я установил, что атака началась 30 июля 2026 года. Злоумышленники систематически восстанавливали сид-фразы, сгенерированные уязвимыми устройствами Coldcard, после чего переводили средства на подконтрольные адреса. Корень проблемы — в обновлении прошивки от Coinkite, выпущенном в 2021 году. Изменение механизма генерации криптографической энтропии привело к багу: генератор случайных чисел работал некорректно, а устройства незаметно переключались на недостаточно надежный источник энтропии. Это ослабило защиту приватных ключей, и при наличии достаточных вычислительных мощностей хакеры смогли их воспроизвести.

Масштаб потерь, вероятно, еще выше: с учетом неподтвержденных эпизодов объем похищенного может достигать 2417,35 BTC (~$153 млн). Я связался с 190 пострадавшими и подтвердил кражу с более чем 8600 адресов. Примечательно, что атака носила множественный характер — я обнаружил как минимум 33 отдельных следа активности, что указывает на одновременное использование уязвимости несколькими группировками.

Куда ушли украденные средства

Из подтвержденных 1778 BTC около 1531 BTC до сих пор остаются на адресах злоумышленников, а примерно 246 BTC уже перемещались. Около 65% этих средств прошли через транзакции CoinJoin, что серьезно затрудняет отслеживание происхождения монет. Еще 35% продолжили движение по блокчейну, включая схему Peel Chain — метод отмывания, при котором от крупной суммы многократно отделяются мелкие транзакции. Небольшая часть украденных биткоинов была замечена на централизованных биржах и кроссчейн-мостах; я передал списки адресов биржам, комплаенс-компаниям и правоохранительным органам.

Удар по идее самостоятельного хранения

Этот инцидент бьет не только по кошелькам, но и по самому нарративу самокастоди. Жертвами стали пользователи, которые максимально ответственно подходили к хранению: они не использовали сомнительные биржи, рискованные DeFi-протоколы или высокодоходные инструменты. Они доверились аппаратным кошелькам — золотому стандарту безопасности. Результат не заставил себя ждать: после начала атак количество мелких переводов на биржи резко выросло, и за первые четыре дня на централизованные платформы поступило более 22 000 BTC. К 8 августа совокупный баланс на биржах достиг исторического максимума в 3,683 млн BTC.

Мультиподпись как ответ на единую точку отказа

Показательно, что ни одна подтвержденная кража не была совершена с адресов, защищенных мультиподписью. Сервисы Casa и Anchorwatch зафиксировали резкий рост числа клиентов и объемов переводимых в мультисиг-хранилища биткоинов. Однако, как справедливо отмечает сооснователь Unchained Дхрув Бансал, воспринимать это как победу кастодиальных сервисов было бы ошибкой. Проблема — в единой точке отказа, будь то биржа, производитель устройства или сам пользователь. Инцидент заставляет пересмотреть подход: распределение риска между несколькими ключами и независимыми компонентами инфраструктуры становится не опцией, а необходимостью.

ИИ на службе злоумышленников

Отдельного внимания заслуживает роль искусственного интеллекта. Я с высокой вероятностью предполагаю, что часть атакующих использовала ИИ-модели без жестких ограничений по кибербезопасности — в частности, китайские открытые LLM. Ирония в том, что исследователи Bitcoin Red Team, начавшие массовую проверку кодовой базы экосистемы, столкнулись с обратной проблемой: ограничения ведущих американских ИИ-компаний мешали им применять наиболее мощные модели для защиты. Это тревожный сигнал: по мере распространения ИИ возможности поиска и эксплуатации ошибок становятся доступнее не только защитникам, но и злоумышленникам.

Мой вывод: инцидент с Coldcard — это не просто технический сбой, а системный вызов всей индустрии. В первой половине 2026 года криптопроекты потеряли из-за взломов около $1,1 млрд, и этот случай стал самой яркой иллюстрацией того, что даже самые надежные на первый взгляд решения могут содержать скрытые дефекты. Пользователям, которые до сих пор хранят биткоины на одноподписных Coldcard, я настоятельно рекомендую немедленно переместить активы на новые адреса — лучше перестраховаться, чем стать следующей жертвой.