AI-аудит Bitcoin Red Team: обнаружено 85 критических уязвимостей после взлома Coldcard на $116 млн

Реакция на взлом Coldcard

Кампания стала прямым ответом на эксплойт аппаратного кошелька Coldcard в июле 2026 года . Вот что произошло:

• Уязвимость: ошибка в прошивке, появившаяся в версии 4.0.0 (март 2021 года), заставляла устройство обходить собственный аппаратный генератор случайных чисел при создании сид-фразы . Это делало сид-фразы предсказуемыми: стойкость ключа упала со 128 до 40 бит .
• Атака: начиная с 30 июля 2026 года, злоумышленники использовали эту ошибку, чтобы опустошить тысячи кошельков. Первая волна затронула 1196 адресов за 41 минуту, похитив 1082,65 BTC (~$70 млн на тот момент) .
• Общий ущерб: несколько волн атак довели сумму потерь до $116 млн с более чем 5200 адресов, а некоторые оценки превышают $130 млн . В атаке участвовало как минимум несколько разных хакеров .
• Реакция Coinkite: компания призвала пользователей обновить прошивку и вывести средства, но к тому моменту значительная часть ущерба уже была нанесена .

В ответ Bitcoin Red Team запустила аудит, чтобы найти аналогичные ошибки в генераторах случайных чисел, слабые криптографические практики и другие системные проблемы, прежде чем их смогут использовать злоумышленники .

Ключевые результаты и методы

Результаты

Такой объем — почти 5000 отчетов за день — создал серьезную проблему сортировки для разработчиков, поддерживающих проекты . Лишь примерно каждая пятая находка была подтверждена, но группа настаивала, что сигнализировать о пограничных проблемах было оправданно с учетом масштаба атаки на Coldcard .

Методы

• Команда использовала модели ИИ с открытым весом для сканирования кодовых баз на предмет известных паттернов уязвимостей, криптографических слабостей и логических ошибок .
• Исследователи направляли работу ИИ, проверяли результаты и отправляли ответственные отчеты об уязвимостях .
• Группа планирует опубликовать в открытом доступе свою систему безопасности на базе ИИ, чтобы сообщество могло продолжить автоматическое сканирование .
• Основное внимание уделялось кошелькам, криптографическим библиотекам и инфраструктурным проектам Bitcoin — то есть коду, ошибки в котором могут привести к потерям масштаба Coldcard .

Почему OpenAI отозвала доступ одному из руководителей посреди проекта

Роб Хэмилтон (CEO AnchorWatch и со-руководитель кампании) был участником программы OpenAI "Trust Cyber", которая предоставляет одобренным исследователям субсидированный API-доступ для поиска уязвимостей . 8–9 августа 2026 года, после того как он уже интегрировал программу в свой рабочий процесс и отправил подтвержденные отчеты, OpenAI без объяснения причин отозвала его доступ .

• Хэмилтон публично заявил: "Мне заблокировали возможность проводить дополнительный анализ кода, по которому я уже ответственно сообщил об уязвимостях и получил подтверждение, что находки были реальными" .
• Отзыв доступа вынудил Bitcoin Red Team переключиться на менее строгие модели ИИ, в том числе на китайские альтернативы с открытым весом, что было широко отмечено и раскритиковано как удар по конкурентоспособности США в сфере ИИ и кибербезопасности .
• OpenAI не обнародовала свои мотивы. В FAQ программы Researcher Access сказано, что кредиты выдаются по усмотрению компании и могут быть отозваны, однако никаких конкретных нарушений политики со стороны Хэмилтона не приводится .