Hack Coldcard za 130 milionů dolarů: Jak pět let stará chyba firmwaru ohrozila bitcoinové peněženky

Jak chyba fungovala

Coldcard vyrábí kanadská společnost Coinkite . Aktualizace firmwaru z března 2021 u některých modelů přesměrovala generování seedů neboli obnovovacích frází z vyhrazeného hardwarového generátoru náhodných čísel STM32 na deterministický softwarový generátor pseudonáhodných čísel (PRNG) .

Tím se zhoršila takzvaná entropie — míra náhodnosti, na níž závisí bezpečnost privátních klíčů. U novějších modelů Mk4, Mk5 a Q klesla přibližně na 72 bitů . Útočníci proto nemuseli zařízení fyzicky získat ani proniknout do bitcoinové sítě. Stačilo jim zpětně analyzovat oslabenou náhodnost a pomocí hrubé síly rekonstruovat obnovovací fráze, které odpovídaly předvídatelným adresám .

Zranitelnost se týkala seedů vytvořených na modelech Coldcard Mk2, Mk3, Mk4, Mk5 a Q s příslušnými zranitelnými verzemi firmwaru .

Krádež probíhala ve vlnách

Galaxy Research od 30. července identifikovala nejméně tři potvrzené vlny útoků . Největší jednotlivý převod odčerpal 1 082,65 BTC, tehdy v hodnotě přibližně 70 milionů dolarů, z 1 196 adres během pouhých 41 minut .

Analýza společnosti Chainalysis ukázala, že útočník nejprve cílil na nejhodnotnější peněženky. Během prvních deseti minut tak odcizil zhruba 30 milionů dolarů . Jeden z uživatelů při této úvodní operaci přišel přibližně o 1,8 milionu dolarů .

K 7. srpnu se incident stal třetím největším útokem na kryptoměnový sektor v roce 2026 .

Oběti: „Udělal jsem všechno správně“

V několika vlnách bylo vyprázdněno více než 5 200 jednotlivých adres . Někteří uživatelé přišli o celoživotní úspory. Jeden z nich uvedl, že ztratil 20 BTC, v tehdejší hodnotě zhruba 1,3 milionu dolarů; další svědectví popisovala lidi, kteří podle vlastních slov „udělali všechno správně“, přesto o prostředky přišli .

U self-custody — tedy vlastní úschovy, při níž uživatel drží privátní klíče sám — není prostředníkem burza ani banka. Oběti proto neměly nárok na náhradu od kryptoměnové burzy nebo pojišťovny .

Coinkite vydala 31. července nouzové aktualizace firmwaru pro všechny zasažené modely. Samotná instalace opravy však existující peněženky nezachránila. Majitelé museli vytvořit zcela nové peněženky a převést do nich prostředky . Každý seed vytvořený na zranitelném firmwaru zůstal považován za kompromitovaný .

Kyberbezpečnostní ETF se dostaly do centra pozornosti

Hack obrátil pozornost investorů ke společnostem, které chrání digitální infrastrukturu. First Trust NASDAQ Cybersecurity ETF (CIBR) v následujících dnech posílil přibližně o 7 % a Global X Cybersecurity ETF (BUG) téměř o 8 % .

Pohyb zaznamenaly také jednotlivé akcie: HACK vzrostl o 1,21 % a CSCO o 1,16 %, zatímco PANW klesl o 0,39 % a FTNT o 1,25 % . Analytici upozornili, že série podobných útoků podporuje dlouhodobou poptávku po firmách zaměřených na ochranu digitálních systémů, i když samotná časová souvislost ještě neprokazuje, že růst ETF způsobil právě incident Coldcard .

Peníze mířily do spotových bitcoinových ETF

Nejvýraznější tržní reakcí byl příliv prostředků do amerických spotových bitcoinových ETF. Ty investorům umožňují získat expozici vůči ceně bitcoinu, aniž by sami spravovali seed nebo privátní klíče.

• pondělí 3. srpna: čistý příliv 170 milionů dolarů ;
• úterý 4. srpna: dalších 211,5 milionu dolarů ;
• do 6. srpna: čerstvé přílivy do hlavních fondů dosáhly celkem 626 milionů dolarů .

Největší podíl na návratu přílivů měl iShares Bitcoin Trust (IBIT) společnosti BlackRock, který v pondělí získal 111 milionů dolarů a v úterý 170 milionů dolarů .

Eric Balchunas, seniorní analytik ETF ve společnosti Bloomberg Intelligence, uvedl, že hack „posiluje argumenty ve prospěch amerických spotových bitcoinových ETF, zejména pro investory, kteří chtějí dlouhodobou expozici vůči ceně, ale nechtějí spravovat privátní klíče“ .

Self-custody versus regulovaná úschova

Incident znovu rozpoutal debatu o známém krypto rčení „not your keys, not your coins“ — pokud nemáte vlastní klíče, nemáte své mince. Coldcard ale ukázala opačnou stránku problému: vlastní klíče mohou znamenat skutečnou kontrolu, zároveň však přenášejí veškerou odpovědnost za hardware, firmware, zálohy i reakci na bezpečnostní chyby na uživatele.

Představa, že offline hardwarová peněženka je prakticky nenapadnutelná, se ukázala jako příliš zjednodušená. Chyba ve firmwaru dokázala obejít výhodu fyzického oddělení zařízení . Analytici z CoinDesk a Cantor Fitzgerald proto uvedli, že část uživatelů může zamířit k profesionálním správcům, jako jsou Coinbase a BitGo, nebo k regulovaným ETF produktům .

„Očekávali bychom, že po tomto útoku vzrostou přílivy tokenů ke správcům a na burzy,“ napsal ve zprávě klientům Nico Pasquariello, specialista na digitální aktiva .

Problém může být širší než Coldcard

Po útoku se pozornost přesunula také k celému ekosystému self-custody. Dobrovolnická bezpečnostní iniciativa Bitcoin Red Team využila při auditech asistenci umělé inteligence a odhalila 4 962 potenciálních problémů ve 390 bitcoinových projektech. Z nich 720 mělo vysokou nebo kritickou závažnost .

Více než 21 % nálezů se podařilo reprodukovat a po útocích na peněženky Coldcard bylo soukromě nahlášeno několik kritických zranitelností . Tato zjištění sama o sobě neznamenají, že všechny uvedené projekty byly napadeny. Naznačují však, že chyba Coldcard nemusela být izolovanou událostí, ale příznakem širších bezpečnostních nedostatků v nástrojích pro vlastní úschovu.

Co si z případu odnést

• Pět let stará chyba ve firmwaru Coldcard oslabila náhodnost seedů a vedla ke ztrátám kolem 130 milionů dolarů v bitcoinu.
• Útočník během největší operace odčerpal přibližně 70 milionů dolarů za 41 minut; 30 milionů dolarů zmizelo během prvních deseti minut.
• Uživatelé self-custody neměli automaticky nárok na náhradu od burzy nebo pojišťovny.
• Kyberbezpečnostní ETF CIBR a BUG v reakci na incident posílily přibližně o 7 až 8 % .
• Spotová bitcoinová ETF zaznamenala během několika dnů příliv 626 milionů dolarů .
• Ani hardwarová peněženka není bezpečnější než firmware a proces, který ji řídí.
• Audit Bitcoin Red Team odhalil tisíce potenciálních problémů napříč stovkami bitcoinových projektů, což ukazuje na širší systémové riziko .