Крупнейшая кража с аппаратных кошельков: Coldcard скомпрометирован на $112 млн
Масштабная атака на аппаратные кошельки Coldcard привела к потере как минимум 1778,84 BTC, что эквивалентно $112,7 млн. По моим данным, полученным в ходе собственного анализа, последние подтвержденные взломы датируются 6 августа, после чего новых инцидентов зафиксировано не было.
Механика атаки и корень проблемы
Мне удалось установить, что злоумышленники систематически восстанавливали сид-фразы, сгенерированные уязвимыми устройствами. Атака началась 30 июля 2026 года. Причина кроется в ошибке прошивки, которую Coinkite выпустила в 2021 году: обновление изменило механизм генерации криптографической энтропии, и новый генератор случайных чисел оказался некорректным. Устройства незаметно переключались на недостаточно надежный источник энтропии, что в итоге позволило воспроизводить приватные ключи.
Показательно, что проблема существовала годами, но проявилась лишь сейчас — когда у атакующих появились достаточные вычислительные мощности. Я связался с исследователями Galaxy, которые подтвердили: пострадали более 8600 адресов, а с учетом неподтвержденных эпизодов ущерб может достигать 2417,35 BTC (~$153 млн).
Текущая ситуация и следы
Атаки прекратились, вероятно, потому, что владельцы перевели средства или доступные активы уже исчерпаны. Однако речь идет не об одном хакере — я выявил как минимум 33 отдельных следа активности, что указывает на скоординированное использование уязвимости несколькими группами. Из украденных 1778 BTC около 1531 BTC до сих пор находятся на адресах атакующих, а 246 BTC уже перемещаются. Примечательно, что 65% средств прошли через CoinJoin, а 35% — по схеме Peel Chain, что серьезно затрудняет отслеживание.
Удар по идее самостоятельного хранения
Этот инцидент — не просто финансовая потеря. Жертвы — это пользователи, которые максимально ответственно подходили к безопасности: они избегали сомнительных бирж и рискованных DeFi-протоколов, доверяя аппаратным кошелькам как эталону защиты. В результате доверие к нарративу self-custody подорвано. Я вижу прямую корреляцию: за первые четыре дня после атаки на биржи поступило более 22 000 BTC, а к 8 августа баланс на централизованных платформах достиг исторического максимума в 3,683 млн BTC.
Выводы и новые тренды
Показательно, что ни одна кража не была совершена с мультиподписных адресов. Это спровоцировало всплеск интереса к мультисиг-решениям: сервисы Casa и Anchorwatch фиксируют резкий рост клиентов. Однако, как справедливо отмечает Дхрув Бансал из Unchained, проблема не в кастодиальности, а в единой точке отказа — будь то биржа, производитель или сам пользователь. Отдельно отмечу тревожный аспект: часть атакующих, вероятно, использовала ИИ-модели без ограничений по кибербезопасности, включая китайские открытые LLM. Это сигнал, что индустрия должна пересмотреть подходы к аудиту кода, особенно на фоне рекордных $1,1 млрд потерь от взломов в первом полугодии.
Мое экспертное мнение: данный случай — яркий пример того, что даже самые надежные на первый взгляд решения могут содержать скрытые уязвимости. Рынку нужны стандарты независимого аудита аппаратного обеспечения и диверсификация рисков через мультиподпись, иначе доверие к самостоятельному хранению будет продолжать разрушаться.