Новости криптомира

Масштабный инцидент с аппаратными кошельками Coldcard привел к потере как минимум 1778,84 BTC — это эквивалент $112,7 млн по текущему курсу. Мои коллеги из Galaxy Research провели детальный анализ и подтвердили, что после 6 августа новых случаев взлома зафиксировано не было.

Хронология атаки и корень проблемы

Атака стартовала 30 июля 2026 года. Злоумышленники систематически восстанавливали сид-фразы, сгенерированные уязвимыми устройствами, и выводили средства на подконтрольные адреса. Исследователи подтвердили кражу с более чем 8600 адресов, связавшись со 190 пострадавшими. При этом реальный ущерб может быть выше: с учетом неподтвержденных эпизодов объем похищенного оценивается в 2417,35 BTC (~$153 млн).

Причина кроется в ошибке, допущенной Coinkite в 2021 году при обновлении прошивки. Изменение механизма генерации криптографической энтропии привело к некорректной работе генератора случайных чисел. Устройства незаметно переключались на альтернативный источник энтропии, который оказался фатально недостаточным для защиты приватных ключей. Проблема существовала годами, но реализовать атаку удалось только сейчас — атакующим потребовались значительные вычислительные ресурсы для воспроизведения ключей.

Прекращение атак и множественные следы

Последняя подтвержденная цепочка атак датируется 6 августа. Прекращение взломов объясняется либо тем, что владельцы успели перевести средства, либо тем, что доступные активы уже были исчерпаны. Примечательно, что действовали не один, а как минимум несколько атакующих — Galaxy обнаружила 33 отдельных следа активности, что указывает на параллельное использование уязвимости.

Судьба украденных средств

Из подтвержденных 1778 BTC около 1531 BTC остаются на адресах злоумышленников. Примерно 246 BTC уже перемещались, причем 65% прошли через CoinJoin-транзакции, затрудняющие отслеживание, а 35% двигались по схеме Peel Chain — классическому методу отмывания через микротранзакции. Часть средств была замечена на централизованных биржах и кроссчейн-мостах; Galaxy передала списки адресов биржам, комплаенс-компаниям и правоохранителям.

Удар по идеологии self-custody

Инцидент бьет по самому нарративу самостоятельного хранения. Пострадавшие — это пользователи, которые максимально ответственно подходили к безопасности: не использовали сомнительные биржи или DeFi-протоколы, а доверяли аппаратным кошелькам как эталону защиты. После начала атак наблюдался всплеск переводов на биржи: за первые четыре дня поступило более 22 000 BTC, а к 8 августа совокупный баланс на платформах достиг исторического максимума в 3,683 млн BTC.

Мультиподпись как решение

Показательно, что ни одна подтвержденная кража не была совершена с мультисиг-адресов. Сервисы Casa и Anchorwatch зафиксировали резкий рост клиентов и объемов переводимых средств. Сооснователь Unchained Дхрув Бансал справедливо отмечает: проблема не в кастодиальных сервисах, а в единой точке отказа — будь то биржа, производитель или сам пользователь. Инцидент заставляет пересмотреть подход к хранению в пользу распределения риска между несколькими ключами.

Роль ИИ в атаке

Отдельного внимания заслуживает вероятное использование ИИ. Galaxy предполагает, что часть атакующих применяла открытые китайские LLM без ограничений по кибербезопасности. Ирония в том, что исследователи Bitcoin Red Team, проверяющие экосистему на уязвимости, столкнулись с обратной проблемой — ограничения американских ИИ-компаний мешали им использовать мощные модели для защиты. Это подчеркивает двойственность ИИ: он становится инструментом как для обороны, так и для атак.

Мой комментарий: Этот инцидент — тревожный звонок для всей индустрии. Даже самые доверенные аппаратные кошельки не застрахованы от ошибок в коде, а с учетом того, что в первой половине 2026 года криптопроекты потеряли $1,1 млрд из-за взломов, очевидно: безопасность требует не слепой веры в один девайс, а многоуровневой стратегии. Рекомендую всем владельцам Coldcard немедленно мигрировать на новые адреса и серьезно рассмотреть мультиподпись как стандарт для значительных сумм.