Coldcard: похищено до 2 000 BTC, LTH перевели 210 000 BTC

В конце июля 2026 года злоумышленники получили доступ к приватным ключам на ряде аппаратных кошельков Coldcard и похитили примерно 1,8–2 тыс. BTC. Одновременно за короткий период адреса, считающиеся долгосрочными держателями, перевели около 210 000 BTC на новые адреса.

Аналитики из TRM Labs оценили прямые потери в примерно 1 816 BTC, при этом Galaxy Research называет показатель около 2 055 BTC. Атаки происходили в четыре волны и затронули более 5 200 адресов.

По данным аналитиков, в течение недели с адресов, где монеты не перемещались минимум 155 дней, было перемещено около 210 000 BTC. До переводов долгосрочные держатели контролировали почти 15 млн BTC; после объём в этой категории сократился примерно до 14,7 млн BTC.

Производитель Coldcard Coinkite объяснил, что причина уязвимости заложена в ошибке компоновки прошивки, возникшей в марте 2021 года. Из‑за неправильной сборки вместо использования только аппаратного генератора случайных чисел часть процесса генерации seed‑фраз опиралась на встроенный программный генератор MicroPython (Yasmarang). Это могло снизить криптографическую стойкость некоторых ключей с 128 бит примерно до 40 бит, что позволило подбирать ключи без физического доступа к устройству.

Coinkite указала, что «то, что многие называют “резервным механизмом”, не было намеренным дизайнерским решением», и что обновление прошивки не защищает уже созданные кошельки. Владельцам, которые генерировали seed‑фразы на устройствах после марта 2021 года и до выпуска исправления, рекомендовано создать новый кошелёк и перевести средства.

TRM Labs отмечает, что похищенные средства в настоящий момент в основном сосредоточены на нескольких адресах злоумышленников. Зарегистрированы единичные депозиты в миксеры — один в Wasabi Wallet и один в Tornado Cash — что свидетельствует об отсутствии массового отмывания на момент наблюдений. Паттерны транзакций в четырёх волнах дают основания говорить о возможном участии нескольких независимых злоумышленников.

Сервис Lookonchain зафиксировал дальнейшие переводы похищенных средств: по последним данным злоумышленник переместил дополнительно 30,185 BTC на новый адрес.

Аналитическая компания Chainalysis указывает, что около 25% подтверждённых потерь приходится на пользователей из Канады; значительные убытки зафиксированы также в Австралии, США и Таиланде. Представитель Galaxy Digital Джеймс Торн координирует сбор информации от пострадавших и передачу материалов правоохранительным органам; он сообщает о многих случаях полной потери сбережений и о тяжёлом психологическом состоянии некоторых жертв.

Технический директор производителя кошельков Ledger Шарль Гийеме прокомментировал значение генерации случайных чисел: «Если число, из которого формируется приватный ключ, можно предсказать, тогда можно предсказать и все, что из него происходит». Он сопоставил инцидент с предыдущими случаями уязвимостей генерации ключей.

Эксперты указывают на последствия для приватности: компрометация seed‑фраз даёт возможность восстановить историю транзакций пострадавших адресов и упростить группировку адресов, принадлежащих одному владельцу. Правоохранительные органы и блокчейн‑аналитики продолжают отслеживать движения средств и координируют расследование.