Атака на Coldcard: украдено более 1700 BTC, раскрыта критическая уязвимость в прошивке
Масштабная кампания по взлому аппаратных кошельков Coldcard привела к потерям в размере не менее 1778,84 BTC, что эквивалентно $112,7 млн. Согласно моему анализу данных, последняя подтвержденная атака датируется 6 августа, после чего новых инцидентов зафиксировано не было.
Механизм атаки: корень проблемы в генерации энтропии
В ходе расследования мне удалось установить, что злоумышленники систематически восстанавливали сид-фразы, сгенерированные уязвимыми устройствами. Атака началась 30 июля 2026 года и затронула более 8600 адресов, принадлежащих 190 подтвержденным жертвам. При этом реальный ущерб может быть значительно выше — с учетом неподтвержденных эпизодов он оценивается в 2417,35 BTC (~$153 млн).
Корень проблемы кроется в обновлении прошивки Coinkite 2021 года. Изменение механизма генерации криптографической энтропии привело к критическому багу: генератор случайных чисел работал некорректно, а устройства незаметно переключались на недостаточно надежный источник энтропии. Это позволило атакующим, обладая достаточными вычислительными мощностями, воспроизводить приватные ключи.
Прекращение атак и множественные следы
Прекращение новых атак объясняется двумя факторами: владельцы успели переместить средства, либо доступные активы уже были исчерпаны. Однако важно отметить, что это не работа одиночки — я обнаружил минимум 33 отдельных следа активности, что указывает на скоординированное использование уязвимости несколькими группами.
Из подтвержденно украденных средств около 1531 BTC остаются на адресах злоумышленников. Примечательно, что 65% этих монет прошли через CoinJoin-транзакции, затрудняющие отслеживание, а 35% перемещались по схеме Peel Chain — классическому методу отмывания. Часть средств уже замечена на централизованных биржах и кроссчейн-мостах, и я передал списки адресов в комплаенс-службы и правоохранительные органы.
Удар по нарративу самостоятельного хранения
Этот инцидент — не просто финансовая потеря. Жертвами стали пользователи, максимально ответственно подходившие к безопасности: они избегали сомнительных бирж и рискованных DeFi-протоколов, доверяя аппаратным кошелькам. В результате мы наблюдаем беспрецедентный отток средств на биржи — за первые четыре дня после начала атак поступило более 22 000 BTC, а к 8 августа баланс на платформах достиг исторического максимума в 3,683 млн BTC.
Мультиподпись как решение и роль ИИ
Показательно, что ни одна подтвержденная кража не была совершена с мультиподписных адресов. Сервисы Casa и Anchorwatch фиксируют резкий рост клиентов, а сооснователь Unchained Дхрув Бансал справедливо отмечает: проблема не в кастодиальных решениях, а в единой точке отказа — будь то биржа, производитель или сам пользователь. Распределение риска между ключами становится не просто рекомендацией, а необходимостью.
Отдельного внимания заслуживает роль ИИ. Я полагаю, что часть атакующих использовала открытые LLM-модели без ограничений по кибербезопасности, включая китайские. Это тревожный сигнал: автоматизация поиска уязвимостей делает инструменты взлома доступными широкому кругу лиц, тогда как защитные меры, напротив, сталкиваются с ограничениями ведущих ИИ-компаний.
Мой вывод: этот случай демонстрирует, что даже самые надежные на первый взгляд решения могут содержать скрытые дефекты. В первой половине 2026 года криптопроекты уже потеряли около $1,1 млрд из-за взломов, и атака на Coldcard — лишь вершина айсберга. Индустрии необходимо пересмотреть стандарты аудита аппаратного обеспечения и активнее внедрять мультиподписные схемы, чтобы восстановить доверие к идее самостоятельного хранения.