Злам Coldcard на $116 млн: як помилка у прошивці зруйнувала криптографічну випадковість

Атака не вимагала ні викрадення самого пристрою, ні доступу до комп’ютера власника. Проблема полягала в тому, що частина гаманців генерувала seed-фрази, які лише виглядали випадковими.

Корінь проблеми: прошивка вимкнула джерело випадковості

Вразливість пов’язують із помилкою у збірці прошивки, що з’явилася в коміті від 1 березня 2021 року і потрапила до версії Coldcard Mk3 4.0.1 .

Coldcard має апаратний генератор справді випадкових чисел — TRNG. Саме він має забезпечувати достатню ентропію для створення криптографічних ключів. Однак несправний код змушував пристрій пропускати TRNG і переходити на програмний псевдовипадковий генератор .

Замість повноцінної 256-бітної випадковості seed будувався на значно більш передбачуваних параметрах — зокрема, на серійному номері чипа та показниках внутрішнього годинника . Простими словами, простір можливих seed-фраз став не практично нескінченним, а таким, який можна перебрати обчислювальними методами .

Знаючи або оцінюючи ці параметри, атакер міг офлайн відновити повну seed-фразу з 12 чи 24 слів, отримати відповідні приватні ключі та перевести біткоїни — без фізичного контакту з Coldcard .

Як працювала атака

Ймовірна схема була масштабною, але технічно прямолінійною:

1. зловмисники визначили діапазон слабких seed-фраз, створених уразливою прошивкою;
2. перебрали можливі комбінації серійних номерів і значень годинника;
3. вивели з них приватні ключі та біткоїн-адреси;
4. перевірили адреси на наявність коштів;
5. переказали біткоїни на контрольовані адреси.

Аналітики Galaxy Research відстежили основні перекази та виявили щонайменше три окремі групи атакерів .

Деякі публікації припускають, що для пошуку помилки могли використовувати аудит коду за допомогою ШІ. Водночас ШІ-інструменти, ймовірно, істотно спростили масовий перебір seed-фраз і перевірку балансів . Остаточно підтверджену роль ШІ виявлення вразливості джерела не встановлюють, але інцидент уже став аргументом у дискусії про автоматизований пошук уразливостей у відкритому коді.

Хто опинився під загрозою

Найбільший ризик стосувався власників Coldcard Mk2 і Mk3, які створили 12- або 24-слівні seed-фрази на уразливих версіях прошивки та не додавали власну ентропію . У зведених попередженнях фігурують версії від 4.0.1 до 4.1.9, а також ширший діапазон до 5.0.3 .

Відносно безпечнішими в межах описаного сценарію вважалися користувачі, які:

• створювали seed за допомогою кидання кубиків і додавали власну ентропію;
• використовували BIP39 passphrase — додаткову парольну фразу;
• створювали гаманець на прошивці 4.2.0 або новішій;
• користувалися моделями, які не входили до відповідного діапазону вразливих версій .

Окремі технічні аналізи розширювали перелік потенційно зачеплених моделей і версій, тому власникам Coldcard варто звірятися саме з актуальним попередженням Coinkite для конкретної моделі та версії прошивки.

Загалом було спустошено понад 5 200 біткоїн-адрес, пов’язаних із більш ніж 4 500 гаманцями . Найбільший окремий sweep відбувся 30 липня: за 41 хвилину з 1 196 адрес вивели 1 082,65 BTC, або близько $70,2 млн на той момент .

Реакція Coinkite та постраждалих

Coinkite оприлюднила попередження про безпеку 30 липня 2026 року. Компанія закликала власників уразливих Mk2 і Mk3 негайно перевести кошти на нові гаманці, створені за допомогою виправленої прошивки або додаткової ентропії з кубиків .

Компанія також:

• випустила виправлену прошивку — версію 5.0.4 і новіші — для відновлення коректного використання апаратного TRNG ;
• опублікувала хронологію, яка пов’язує проблему з комітом від березня 2021 року ;
• залучила Galaxy Research, Block та інші компанії блокчейн-аналітики для відстеження викрадених монет .

Важливий нюанс: оновлення прошивки не виправляє вже створений уразливий гаманець. Якщо seed-фраза була згенерована в проблемний період, потрібно створити новий гаманець і переказати на нього кошти .

Для користувачів ситуація виявилася хаотичною. Частина власників дізналася про проблему лише після спорожнення адрес. У соцмережах з’явилися численні повідомлення про зникнення коштів . Паралельно виникли сайти для перевірки адрес, деякі з яких могли бути фішинговими. Оскільки біткоїн не має централізованого зберігача, у жертв seed-реконструкції практично немає простого способу скасувати переказ.

Конкурент Ledger заявив, що його пристрої не постраждали від цієї конкретної вразливості. За словами компанії, її гаманці використовують сертифікований апаратний TRNG, вбудований у захищений елемент, для генерації 256-бітної ентропії recovery-фраз .

Чому цей інцидент важливий для ринку

Злам ударив по ключовій обіцянці апаратних гаманців: зберігати приватні ключі ізольовано від інтернету. Coldcard позиціонувалася як рішення для особливо обережного — «параноїдального» — самозберігання біткоїна. Тепер інцидент показав, що ізоляція пристрою не рятує, якщо помилка у прошивці непомітно послаблює процес генерації ключів .

Для ринку наслідки мають кілька рівнів:

• Ціна біткоїна. Атака не спричинила масштабного обвалу BTC, хоча додала негативних настроїв у нестабільний період .
• Довіра до апаратних гаманців. Користувачі почали ставити під сумнів, чи достатньо самого факту офлайн-зберігання, якщо firmware може зруйнувати ентропію.
• Роль ШІ в кібербезпеці. Інцидент підживив побоювання, що автоматизований аудит відкритого коду здатен знаходити помилки швидше, ніж виробники встигають їх виявляти .
• Практики самозберігання. Експерти знову наголошують на multisig-гаманцях, passphrase-захисті seed-фраз і перевірених джерелах апаратної ентропії .

Що відбувається з викраденими коштами

Станом на 7 серпня 2026 року більша частина викраденого біткоїна залишається на адресах, які відстежують аналітичні компанії та правоохоронці. Кошти не повернули жертвам, але й масштабного виведення через біржі не зафіксовано.

• Найбільший кластер. Атакер контролює приблизно 1 159 BTC, або близько $72,7 млн, на семи адресах. Станом на 5 серпня ці монети не надходили до міксерів і не були виведені через ідентифіковану біржу .
• Другий кластер. Інша група в період із 4 до 6 серпня почала переміщувати близько 64 BTC через Wasabi та 200 ETH через Tornado Cash . За оцінками дослідників, це може бути діяльність меншого оператора, який отримав лише частину бази слабких seed-фраз.
• Третій кластер. 7 серпня з адрес, пов’язаних із атакером, якому приписують контроль приблизно 2 055 BTC, було переказано 30,185 BTC — близько $1,94 млн — на новий гаманець . Це стало першим помітним рухом із цього кластера за кілька тижнів.
• Загальна картина. За даними на 4 серпня, близько 90% із приблизно 1 600 викрадених BTC залишалися без руху після початкової атаки. Для найбільшого кластера не фіксували переказів до міксерів, а через відомі біржі не було виведено жодного BTC .

Публічність блокчейна працює проти зловмисників: великі перекази можна відстежувати в реальному часі, а біржі з процедурами AML/KYC можуть блокувати підозрілі депозити. Тому значна частина монет фактично «заморожена на видноті» — її складно конвертувати у звичайні гроші непомітно.

Однак це не означає, що кошти вже повернули. Станом на останні доступні повідомлення не було публічно підтверджено жодного правоохоронного вилучення основної суми викраденого біткоїна.