Хакеры украли не менее 1,78 тыс. BTC с Coldcard

Хакеры похитили как минимум 1778,84 BTC (~$112,7 млн) с аппаратных кошельков Coldcard. По данным Galaxy Research, атака стартовала не позднее 30 июля 2026 года и связана с ошибкой в механизме генерации криптографической энтропии, внесённой в прошивку Coinkite в 2021 году.

Исследователи связались с 190 пострадавшими и подтвердили кражи с более чем 8 600 адресов. Если учитывать эпизоды, которые пока не подтверждены окончательно, объём похищенных средств может достигать 2417,35 BTC (~$153 млн).

В 2021 году в прошивке был изменён способ получения случайных чисел. Из‑за бага устройства переходили на иной источник энтропии, который оказался недостаточным для защиты приватных ключей. При наличии значительных вычислительных ресурсов злоумышленники смогли воспроизводить приватные ключи, созданные на уязвимых устройствах.

Последняя подтверждённая цепочка атак датируется 6 августа; после этой даты новых подтверждений краж не зафиксировано. Galaxy предполагает, что атаки прекратились потому, что часть владельцев перевела средства на новые адреса либо большая часть доступных средств уже была похищена. Компания рекомендует владельцам одноподписных Coldcard срочно переместить биткоины на новые адреса.

Анализ активности показал как минимум 33 дополнительных следа, что указывает на участие нескольких независимых атакующих, а не одного оператора.

Из примерно 1778 BTC, идентифицированных как похищенные, около 1531 BTC остаются на адресах, контролируемых злоумышленниками. Примерно 246 BTC были перемещены после кражи: около 65% этих средств прошли через CoinJoin-транзакции, усложняющие трассировку, а 35% перемещались по схеме peel chain. Небольшая часть монет была выявлена на централизованных биржах и кроссчейн‑мостах. Списки подозрительных адресов переданы биржам, компаниям по комплаенсу, расследованиям и правоохранительным органам.

Мишенями стали преимущественно пользователи, практиковавшие самостоятельное хранение и использовавшие одноподписные аппаратные кошельки. По данным исследователей, в первые четыре дня после начала атак на централизованные платформы поступило более 22 000 BTC, а к 8 августа совокупный баланс на биржах достиг 3,683 млн BTC.

Ни один из подтверждённых случаев кражи не затронул адреса, защищённые мультиподписью. Сервисы Casa и Anchorwatch зафиксировали рост числа новых клиентов и объёмов переводов в мультиподписные кошельки. По мнению Дхрува Бансала, сооснователя Unchained, ключевая проблема в наличии единой точки отказа, и распределение ключей между разными сторонами снижает риск потерь при уязвимостях одного компонента.

Galaxy также отмечает возможную роль искусственного интеллекта: по оценке компании, часть атакующих могла использовать открытые большие языковые модели без ограничений по кибербезопасности, включая китайские модели. Команды, занимающиеся защитой, сталкиваются с ограничениями ведущих американских поставщиков ИИ, что затрудняет использование более мощных моделей для поиска уязвимостей.

В качестве контекста Blockaid оценивает общие потери криптопроектов из‑за взломов в первой половине 2026 года примерно в $1,1 млрд; число подтверждённых эксплойтов за этот период оказалось рекордным для шести месяцев.