Взлом Coldcard: похищены 1 359 BTC — крупнейшая кража биткоинов в 2026 году

По данным BlockBeats от 3 августа, в результате взлома аппаратных кошельков Coldcard злоумышленники похитили 1 359 BTC. Пользователи также сообщают о сбоях после установки обновлений: устройства зависают на страницах ошибок, не загружаются или выглядят "окирпиченными". Инцидент считается крупнейшей кражей биткоинов в 2026 году. BlockBeats собрал хронологию событий. Анализ показывает, что скомпрометированный участок кода прошивки Coldcard был опубликован в марте 2021 года. Уязвимость сохранялась в open-source коде более пяти лет и затрагивала генерацию seed на Mk3 (и части Mk2), а также последующие модели Mk4, Q и Mk5 до выпуска исправления. Масштабные атаки с использованием этой уязвимости продолжались вплоть до 30 июля 2026 года. В течение примерно 25–41 минуты атакующие автоматизировали "свипы", нацеленные на сотни и тысячи адресов. Сначала были скомпрометированы около 500 одноподписных кошельков и 1 324 UTXO на сумму около 594,5 BTC. Позднее ончейн-анализ расширил оценку до примерно 1 196 адресов и 1 082,65 BTC (примерно $70,2 млн). Отмечается, что атакующие отдавали приоритет адресам с более крупными остатками, выставляли фиксированные высокие комиссии и формировали транзакции без change-выходов, быстро консолидируя средства в небольшое число адресов. Разработчик Coldcard, компания Coinkite, выпустила предупреждение по безопасности. В нем подтверждалось, что проблема с генерацией seed затрагивает Mk3 (прошивка 4.0.1 и выше), и содержалась рекомендация пользователям из группы риска осторожно мигрировать. Также высказывалось предположение, что злоумышленники могли применить ИИ для анализа open-source кода и поиска уязвимости. По состоянию на 2 августа руководитель исследований Galaxy Алекс Торн заявил, что атаки вокруг Coldcard продолжают развиваться: появляется больше мелких атакующих и подражателей, которые пытаются добраться до оставшихся мнемонических фраз Coldcard. История вызвала широкий резонанс. Старший ETF-аналитик Bloomberg Эрик Балчунас отметил, что в команде Coldcard всего пять сотрудников — неожиданно мало для компании такого уровня. CZ прокомментировал: "В модели self-custody даже если разработчики закрывают уязвимость, они не могут исправить кошельки, которые уже были сгенерированы; для пользователей, которые держат устройства в изоляции, разработчики не могут напрямую связаться с ними или предупредить. Пока пользователи сами не предпримут действий, затронутые кошельки могут оставаться под риском атак. Я поддерживаю self-custody, но это означает, что пользователи полностью отвечают за собственную безопасность". На фоне дискуссии о потенциальном влиянии ИИ на взлом криптографических устройств институциональная платформа кастодиального хранения BitGo предприняла шаг, призванный поддержать доверие к отрасли. 1 августа CEO BitGo Майк Белше перевел 100 BTC на публично доступный Bitcoin-адрес и пригласил модель Claude от Anthropic попытаться вывести эти средства. Платформа использует мультиподпись или технологию multiparty computation, распределяя право подписи между несколькими независимыми ключами. По состоянию на 2 августа Anthropic публично не ответила на этот вызов. На этом фоне биткоин с 31-го остается под давлением: цена снизилась с $65 000 до $63 000.