Włamanie do Coldcard za 130 mln dolarów. Jak błąd firmware'u podważył bezpieczeństwo bitcoinowych portfeli

Problem dotyczył błędu integracyjnego w firmware urządzeń kanadyjskiej firmy Coinkite . Aktualizacja z marca 2021 roku nakazała części modeli pomijać dedykowany sprzętowy generator liczb losowych STM32. Zamiast niego portfel wykorzystywał deterministyczny programowy generator pseudolosowy, czyli PRNG, do tworzenia fraz seed .

Seed — nazywany także frazą odzyskiwania — jest źródłem kluczy prywatnych portfela. Jego bezpieczeństwo zależy w dużej mierze od odpowiedniej losowości, określanej jako entropia. W tym przypadku entropia została osłabiona na tyle, że atakujący mogli odtworzyć część fraz metodami brute force, czyli systematycznego sprawdzania możliwych kombinacji .

Luka dotyczyła seedów wygenerowanych na modelach Coldcard Mk2, Mk3, Mk4, Mk5 i Q z podatnymi wersjami firmware'u . W nowszych modelach Mk4, Mk5 i Q entropia spadła do około 72 bitów . Atakujący nie musieli zdobywać fizycznego dostępu do urządzeń. Wystarczyło odtworzyć osłabiony schemat generowania i przeszukać adresy, które mogły być powiązane z przewidywalnymi seedami .

Skala kradzieży w liczbach

Pierwsza potwierdzona fala ataków rozpoczęła się 30 lipca 2026 roku. Galaxy Research zidentyfikowało co najmniej trzy główne fale . Największy pojedynczy transfer objął 1082,65 BTC, czyli około 70 mln dolarów, skradzionych z 1196 adresów w ciągu zaledwie 41 minut .

Analiza Chainalysis wykazała, że atakujący najpierw wybierali portfele o najwyższych saldach. W pierwszych 10 minutach skradziono około 30 mln dolarów . Jeden z użytkowników stracił w tym początkowym etapie około 1,8 mln dolarów .

Do 7 sierpnia włamanie było uznawane za trzeci największy incydent kryptowalutowy 2026 roku .

„Zrobiłem wszystko jak należy” — dramat poszkodowanych

W wielu falach ataku opróżniono ponad 5200 indywidualnych adresów . Część użytkowników straciła oszczędności całego życia. Jeden z poszkodowanych poinformował o utracie 20 BTC, wartych wówczas około 1,3 mln dolarów. Relacje ofiar łączyło poczucie, że postępowały zgodnie z najlepszymi praktykami: korzystały z portfela sprzętowego i przechowywały klucze poza internetem .

Problem polegał na tym, że w modelu self-custody użytkownik sam kontroluje środki, ale ponosi też całe ryzyko. Nie ma giełdy, która mogłaby odpowiadać za bezpieczeństwo, ani ubezpieczyciela, który automatycznie pokryłby stratę .

Coinkite wydało 31 lipca awaryjne aktualizacje firmware'u dla wszystkich zagrożonych modeli. Samo zainstalowanie poprawki nie wystarczało jednak do zabezpieczenia istniejących portfeli. Użytkownicy musieli utworzyć zupełnie nowe portfele i przenieść do nich środki . Każdy seed wygenerowany na podatnym firmware pozostawał potencjalnie przejęty .

Cyberbezpieczeństwo zyskało uwagę inwestorów

Włamanie sprawiło, że fundusze ETF skoncentrowane na cyberbezpieczeństwie znalazły się w centrum zainteresowania inwestorów. W dniach po ujawnieniu incydentu First Trust NASDAQ Cybersecurity ETF (CIBR) zyskał około 7 proc., a Global X Cybersecurity ETF (BUG) niemal 8 proc. .

Ruchy widoczne były także wśród pojedynczych spółek: HACK wzrósł o 1,21 proc., CSCO o 1,16 proc., podczas gdy PANW spadł o 0,39 proc., a FTNT o 1,25 proc. . Analitycy wskazywali, że rosnąca liczba ataków wzmacnia długoterminowy argument za funduszami inwestującymi w firmy chroniące cyfrową infrastrukturę .

Nie oznacza to jednak, że sam atak automatycznie wywołał wszystkie ruchy rynkowe. Zbieg wydarzeń sprawił przede wszystkim, że ryzyko związane z bezpieczeństwem cyfrowym ponownie stało się ważnym tematem dla inwestorów.

Kapitał popłynął do spotowych ETF-ów bitcoinowych

Najważniejszą reakcją rynku kryptowalut był wzrost zainteresowania regulowanymi produktami, które oferują ekspozycję na cenę bitcoina bez konieczności samodzielnego przechowywania seedów.

• Poniedziałek, 3 sierpnia: 170 mln dolarów napływów netto .
• Wtorek, 4 sierpnia: 211,5 mln dolarów .
• Do 6 sierpnia: łączna wartość nowych środków w głównych funduszach — między innymi BlackRock, Fidelity, Grayscale i Morgan Stanley — sięgnęła 626 mln dolarów .

Odbiciu przewodził iShares Bitcoin Trust (IBIT) firmy BlackRock, który przyciągnął 111 mln dolarów w poniedziałek i 170 mln dolarów we wtorek . Eric Balchunas, starszy analityk ETF-ów w Bloomberg Intelligence, stwierdził, że włamanie „wzmacnia argument za amerykańskimi spotowymi ETF-ami bitcoinowymi”, szczególnie dla inwestorów, którzy chcą długoterminowej ekspozycji na cenę, ale nie chcą samodzielnie zarządzać kluczami prywatnymi .

Self-custody kontra regulowany depozyt

Incydent uderzył w podstawową obietnicę portfeli sprzętowych: przekonanie, że zasada „nie twoje klucze, nie twoje monety” sama w sobie oznacza większe bezpieczeństwo. Użytkownicy Coldcard przekonali się, że błąd firmware'u może ominąć ochronę zapewnianą przez fizyczne odłączenie urządzenia .

Analitycy cytowani przez CoinDesk i Cantor Fitzgerald oceniali, że część posiadaczy kryptowalut może skierować środki do profesjonalnych depozytariuszy, takich jak Coinbase czy BitGo, oraz do regulowanych produktów ETF . Nico Pasquariello, specjalista rynku aktywów cyfrowych, napisał w nocie dla klientów: „Wnioski są drugorzędne, ale spodziewalibyśmy się wzrostu przepływów tokenów do depozytariuszy i giełd po tym włamaniu” .

To nie oznacza, że regulowany ETF jest odpowiednikiem własnego portfela. Inwestor zyskuje profesjonalną obsługę przechowywania, ale nie posiada bezpośrednio kluczy i nie może korzystać z bitcoina w taki sam sposób jak posiadacz własnego portfela. Wybór sprowadza się więc do innego podziału ryzyka: między odpowiedzialnością za własne zabezpieczenia a zaufaniem do instytucji finansowej.

Czy Coldcard był wyjątkiem?

Włamanie doprowadziło do szerszego przeglądu bezpieczeństwa ekosystemu bitcoina. Ochotnicza inicjatywa Bitcoin Red Team przeprowadziła wspomagane przez sztuczną inteligencję analizy 390 projektów związanych z bitcoinem. Zidentyfikowano 4962 potencjalne problemy, w tym 720 usterek o wysokim lub krytycznym poziomie zagrożenia .

Ponad 21 proc. tych ustaleń udało się odtworzyć, a kilka krytycznych luk zgłoszono prywatnie po atakach na portfele Coldcard . Wyniki nie dowodzą, że każdy projekt jest podatny na podobny atak, ale sugerują, że problem nie musi ograniczać się do jednego producenta. Samodzielna opieka nad kryptowalutami wymaga zaufania nie tylko do sprzętu, lecz także do firmware'u, procesu generowania kluczy i całego łańcucha oprogramowania.

Najważniejsze wnioski

• Błąd firmware'u wprowadzony w marcu 2021 roku osłabił entropię seedów Coldcard i doprowadził do strat szacowanych na około 130 mln dolarów w bitcoinie.
• Największa fala pozbawiła użytkowników około 70 mln dolarów w ciągu 41 minut, a około 30 mln dolarów skradziono w pierwszych 10 minutach.
• Poszkodowani korzystali z self-custody, dlatego nie mogli liczyć na standardową odpowiedzialność giełdy ani automatyczną ochronę ubezpieczeniową.
• Po ujawnieniu włamania fundusze ETF związane z cyberbezpieczeństwem zyskały około 7–8 proc. .
• Spotowe ETF-y bitcoinowe przyjęły do 6 sierpnia 626 mln dolarów nowych środków .
• Incydent pokazał, że „offline” nie oznacza „niezawodne”: portfel sprzętowy nadal zależy od prawidłowego działania firmware'u.
• Audyt Bitcoin Red Team wykazał 4962 potencjalne problemy w 390 projektach, co wskazuje na szersze wyzwania bezpieczeństwa w ekosystemie self-custody .