Масштабы ущерба от серии атак на аппаратные кошельки Coldcard продолжают шокировать рынок. Согласно моему анализу блокчейн-данных, совокупные потери пользователей превысили $115 млн. Начиная с 30 июля злоумышленники вывели 1778,58 BTC с 8680 адресов. Это уже не просто инцидент — это системная угроза для индустрии холодного хранения.
Ключевой вывод, который я делаю из свежих данных: уязвимость имеет четкие временные рамки. Все украденные монеты были созданы после выхода прошивки от 17 марта 2021 года (блок 674 951). Ни одна из пострадавших монет не появилась раньше этой даты. Это прямо указывает на дефект в генерации ключей: устройства, прошитые до релиза, оказались неуязвимы, что сужает круг поиска причин.
Средний «срок жизни» опустошенных адресов составил 1292 дня — около 3,5 лет. Это говорит о том, что атакующие действовали методично, годами ожидая подходящего момента. Примечательно, что 3 августа я уже предупреждал о новой волне атак на кошельки Coldcard, и теперь эти опасения полностью подтвердились.
Первая волна — самый сокрушительный удар
Наибольший ущерб пришёлся на первую атаку: $70,2 млн, или 61% от всей суммы. Скорость вывода тогда поразила даже основателя Binance Чанпэна Чжао (CZ). Средства были переведены в рамках девяти последовательных блоков всего за 41 минуту. Оператор платил фиксированную комиссию около 30 сатоши за vByte и опустошал по одному адресу на транзакцию.
В первой волне пострадали 1195 кошельков, а украденные активы разделили на четыре «коллектора». Для сравнения: волна Footprint E затронула больше адресов — 2147 — и объединяла до 795 хранилищ в одной транзакции. Интересно, что значительная часть средств из первой волны так и осталась нетронутой: из 108,65 BTC на месте до сих пор хранятся 108,57 BTC. Почти все активы Footprint E — 209,94 BTC — уже переведены, осталось лишь 4,38 BTC.
Активы третьей волны перемещали по другой схеме: биткоины сначала ушли на обычные кошельки, но сейчас 207,73 BTC заблокированы на скриптах-«хранилищах». Это говорит о том, что злоумышленники планируют долгосрочное удержание, а не быструю ликвидацию.
Показательно, что заявления пострадавших сильно отстают от реальности: лишь 192 человека сообщили о потерях на сумму 714,81 BTC — это 40,2% от всех украденных монет. Отдельные потери достигают 58,97 BTC, медианная — около 1,03 BTC. Ещё 6890 адресов с 1063,76 BTC до сих пор не связаны ни с одним владельцем.
Мой вердикт: эта атака — тревожный звонок для всей индустрии. Даже аппаратные кошельки, считавшиеся золотым стандартом безопасности, уязвимы. Рекомендую всем владельцам Coldcard проверить дату прошивки своих устройств и, при малейших сомнениях, немедленно перевести средства на новые адреса. В текущих условиях цена осторожности может измеряться не долларами, а целыми состояниями.