Крупнейшая кража с аппаратных кошельков: хакеры вынесли 1778 BTC из Coldcard — подробный анализ инцидента
Масштабный инцидент безопасности, поразивший аппаратные кошельки Coldcard, обернулся потерей как минимум 1778,84 BTC, что эквивалентно $112,7 млн. Мониторинг показывает, что после 6 августа активных атак больше не зафиксировано, однако последствия этой кампании продолжают резонировать во всей индустрии.
Механика атаки: корень проблемы в генерации энтропии
В ходе расследования мне удалось установить, что злоумышленники систематически восстанавливали сид-фразы, созданные уязвимыми устройствами. Причиной стал баг в прошивке Coinkite, внедренный в 2021 году при обновлении механизма генерации криптографической энтропии. Новый генератор случайных чисел работал некорректно, незаметно переключаясь на источник энтропии с критически низкой производительностью. Это сделало приватные ключи уязвимыми для воспроизведения при наличии достаточных вычислительных мощностей.
Проблема существовала годами, но проявилась только сейчас, когда атакующие смогли использовать эту слабость. Мой анализ показывает, что уязвимость затронула преимущественно одноподписные кошельки, и ни одна подтвержденная кража не была совершена с мультисиг-адресов.
Масштаб и последствия
Исследователи связались со 190 пострадавшими и подтвердили кражу с более чем 8600 адресов. Однако итоговый ущерб может быть значительно выше — с учетом неподтвержденных эпизодов он оценивается в 2417,35 BTC (~$153 млн). Примечательно, что 1531 BTC из украденных средств до сих пор находятся на адресах злоумышленников, а около 246 BTC уже перемещались.
Отмывание средств шло по классическим схемам: 65% прошли через CoinJoin, остальные — через Peel Chain и другие методы. Часть биткоинов была замечена на централизованных биржах и кроссчейн-мостах, что позволяет предположить попытки ликвидации.
Удар по нарративу самостоятельного хранения
Этот инцидент — не просто техническая неудача. Жертвами стали пользователи, которые максимально ответственно подходили к безопасности: они не использовали сомнительные сервисы, а полагались на аппаратные кошельки. В результате после начала атак наблюдался резкий отток средств: за первые четыре дня на биржи поступило более 22 000 BTC, а к 8 августа баланс на платформах достиг исторического максимума в 3,683 млн BTC.
Показательно, что атака нанесла удар по самой идее самостоятельного хранения, но одновременно вызвала рост интереса к мультисиг-решениям. Сервисы вроде Casa и Anchorwatch сообщили о наплыве клиентов, что подтверждает сдвиг в сторону распределения рисков.
Роль ИИ и новые угрозы
Отдельного внимания заслуживает вероятное использование ИИ-моделей атакующими. По моим данным, часть злоумышленников могла применять открытые LLM без ограничений по кибербезопасности, что делает поиск уязвимостей доступнее. Это тревожный сигнал: возможности ИИ теперь работают против индустрии, а не только на ее защиту.
Мой вывод: этот инцидент — поворотный момент для всей экосистемы. Он показал, что даже самые надежные на первый взгляд решения могут содержать скрытые дефекты, а доверие к одному устройству — это единая точка отказа. Индустрии нужно пересмотреть подход к безопасности, делая ставку на мультиподпись и диверсификацию инфраструктуры. Рекомендую всем пользователям Coldcard немедленно проверить свои средства и, при сомнениях, перевести активы на новые адреса.