Крупнейший взлом аппаратного кошелька в истории: ошибка в прошивке Coldcard обернулась кражей $116 млн

Такая слабость делала seed-фразы предсказуемыми и уязвимыми для удалённого подбора на основе публичных данных, таких как серийные номера устройств и показания часов. Для этого не требовалось физического доступа к кошельку . Пользователи, которые вводили свои seed-фразы вручную (например, с помощью игральных костей), минуя генерацию устройством, не пострадали .

Хронология атаки: четыре волны за пять дней

• Март 2021 года — В прошивку Coldcard внедряется ошибочный код.
• 30 июля 2026, 01:10–01:51 UTC — Первая крупная волна: 1082,65 BTC (около 70 млн долларов) выведены с 1196 адресов всего за 41 минуту . Атака началась почти за 30 часов до того, как Coinkite выпустила публичное предупреждение .
• Вечер 30 июля 2026 года (ET) — Вторая волна (25 минут): выведено примерно 594 BTC (~$38 млн) примерно с 500 кошельков .
• Конец июля — 3 августа 2026 года — Произошли как минимум ещё две скоординированные волны. Исследователи из Galaxy Research отследили три подтверждённые волны и 14 менее масштабных инцидентов .
• 31 июля 2026 года — Coinkite выпускает экстренные патчи прошивки для всех затронутых моделей .
• 1–4 августа 2026 года — Публичные предупреждения усиливаются по мере того, как атакующий продолжает опустошать кошельки. Galaxy Research неоднократно пересматривает оценки ущерба в сторону увеличения .
• 7–12 августа 2026 года — Появляются данные об ончейн-последствиях: масштабная миграция средств держателей и рекордное создание кошельков .

Общая сумма ущерба

Оценки разнились по мере развития инцидента, однако наиболее полные данные предоставили TRM Labs и Galaxy Research: примерно 1816 BTC (~$116 млн) украдено с более чем 5200 адресов в результате четырёх атак . Более ранние отчёты сообщали о меньших суммах (1367 BTC с 4585 адресов, или $89 млн), поскольку расследование ещё не было завершено . Некоторые источники предполагали, что общие потери могут достигнуть 2055 BTC ($130 млн) после подтверждения четвёртой волны .

Миграция на $15 млрд: 233 000 BTC покидают кошельки долгосрочных держателей

В дни после взлома аналитические фирмы зафиксировали массовое бегство в безопасность:

• Данные Checkonchain показали, что 233 000 BTC покинули кошельки долгосрочных держателей. На тот момент это составляло примерно $15 миллиардов .
• Glassnode сообщил о примерно 210 000 BTC (~$13,69 млрд), покинувших кошельки, которые были неактивны более 155 дней. Это стало самым значительным недельным оттоком биткоинов, хранившихся длительный период, с декабря 2024 года .

Эта миграция была вызвана не только действиями владельцев Coldcard, переводивших средства на новые кошельки, но и общей паникой. Как отметил генеральный директор Casa Ник Нойман, некоторые долгосрочные держатели, включая пользователей Ledger и Trezor, также начали перемещать свои монеты в другие системы хранения .

Рекордное создание кошельков: 2,27 млн новых за неделю

За неделю, закончившуюся примерно 8 августа 2026 года, сеть Биткоина установила рекорд 2026 года по ончейн-активности:

• Создано 2,27 миллиона новых кошельков.
• Зафиксирован 751 000 активных кошельков.

Этот всплеск был напрямую вызван стремлением держателей как можно быстрее вывести средства с устройств Coldcard и сгенерировать совершенно новые кошельки на другом «железе» .

Дебаты о самодепозитарном хранении

Инцидент спровоцировал ожесточённые споры о безопасности аппаратных кошельков и самой концепции самодепозитарного хранения (self-custody):

• Генеральный директор Casa Ник Нойман сообщил, что некоторые клиенты, ссылаясь на взлом Coldcard, начали пересматривать своё отношение к самостоятельному хранению и переходить к квалифицированным кастодианам .
• Эксперты по безопасности отметили, что даже «холодные» кошельки настолько же безопасны, насколько безопасны их прошивка и реализация генератора случайных чисел. Атака не требовала ни физического доступа к устройству, ни каких-либо действий со стороны пользователя, что подорвало доверие к основному обещанию аппаратных кошельков .

Главное предупреждение Coinkite: создайте новые seed-фразы

Coinkite выпустила срочное предупреждение о том, что простого обновления прошивки недостаточно:

• Seed-фразы, созданные на уязвимых версиях прошивки (особенно на Mk3, начиная с марта 2021 года), скомпрометированы навсегда.
• Пользователям было настоятельно рекомендовано создать совершенно новую seed-фразу на исправленном или незатронутом устройстве, перевести на неё все средства и никогда не использовать старую seed-фразу .