Злом Coldcard у липні 2026: викрали до 2 055 BTC

Наприкінці липня 2026 року власники апаратних гаманців Coldcard зафіксували крадіжку біткоїнів унаслідок уразливості прошивки. За оцінками фірм з аналізу блокчейну, втрати становлять від 1 816 до 2 055 BTC; протягом тижня після інциденту довгострокові власники перемістили близько 210 000 BTC.

TRM Labs порахували, що від 30 липня зловмисники вкрали приблизно 1 816 BTC з понад 5 200 адрес у чотири хвилі атак. Galaxy Research оцінила потенційні втрати близько 2 055 BTC. Структура транзакцій свідчить про низку окремих операцій у кількох хвилях атак.

Аналітики, які класифікують довгострокових власників як адреси без руху коштів щонайменше 155 днів, зафіксували переміщення близько 210 000 BTC за тиждень. До інциденту довгострокові власники контролювали близько 15 млн BTC; після переміщень цей показник знизився майже до 14,7 млн BTC.

Coinkite пояснила технічну причину: під час компонування програмного забезпечення випадково було задіяно програмний генератор псевдовипадкових чисел з бібліотеки MicroPython (Yasmarang) замість апаратного генератора. Через це ентропія seed-фраз на старіших пристроях могла знизитися з 128 біт до близько 40 біт, що дозволяло підбирати приватні ключі без фізичного доступу до гаманця. Компанія зазначила, що оновлення прошивки захищає пристрій від подальших генерацій слабких seed, але не відновлює безпеку вже створених seed-фраз; власникам, які згенерували seed після березня 2021 року і до виправлення, радять створити новий гаманець і перевести кошти.

TRM Labs повідомили, що викрадені кошти наразі концентруються на кількох адресах. Зареєстровано по одному депозиту у сервісах для змішування коштів Wasabi Wallet і Tornado Cash, тож масштабного відмивання поки не виявлено. Спостереження за рухом коштів показали, що зловмисники й надалі переміщують частини викрадених BTC; нещодавній переклад склав понад 30 BTC на нову адресу.

За даними аналітиків, близько 25% підтверджених втрат припадає на користувачів з Канади; також зафіксовано значні втрати в Австралії, США і Таїланді. Джеймс Торн з Galaxy Digital повідомив, що поспілкувався з понад 100 постраждалими, багато з яких повідомляють про повну втрату заощаджень і психологічні труднощі.

Технічний директор компанії Ledger Шарль Гійєме прокоментував важливість якості генерації випадкових чисел у гаманцях: «Якщо число, з якого формується приватний ключ, можна передбачити, тоді можна передбачити й все, що з нього походить». Підкреслено, що компрометація seed-фраз дозволяє відновити історію транзакцій постраждалих гаманців і полегшує групування адрес, які належать одному власнику.

Правоохоронні органи отримали матеріали для розслідування. Експерти радять користувачам апаратних гаманців перевірити дату створення своїх seed-фраз, оновити прошивки і, якщо seed було згенеровано після березня 2021 року та до виправлення, перенести кошти на нові seed-фрази, згенеровані на пристроях без виявлених вразливостей.