Злам Coldcard: викрадено 1 359 BTC — найбільша крадіжка біткоїнів у 2026 році

За даними BlockBeats від 3 серпня, унаслідок зламу апаратного гаманця Coldcard було викрадено 1 359 BTC. Користувачі також повідомляють про збої після встановлення оновлень: пристрої зависають на сторінках помилок, не завантажуються або виглядають як "цеглина". Інцидент став найбільшою крадіжкою біткоїнів цього року. BlockBeats зібрав хронологію подій. Розслідування вказує, що скомпрометований фрагмент коду прошивки Coldcard опублікували у березні 2021 року. Уразливість перебувала у відкритому коді понад п'ять років і впливала на генерацію seed на Mk3 (а також на частині Mk2), а також на наступні моделі Mk4, Q і Mk5 до моменту виправлення. Масштабні атаки з використанням цієї вразливості тривали до 30 липня 2026 року. За приблизно 25–41 хвилину зловмисники автоматизували "зачистки", націлені на сотні й тисячі адрес. Спочатку йшлося про близько 500 одно-підписних гаманців і 1 324 UTXO загальним обсягом приблизно 594,5 BTC. Подальший ончейн-аналіз розширив оцінку до близько 1 196 адрес і 1 082,65 BTC (приблизно $70,2 млн). Атака віддавала пріоритет адресам із більшими залишками, використовувала фіксовані високі комісії та формувала транзакції без "решти", швидко консолідуючи кошти у невелику кількість адрес. Розробник Coldcard, компанія Coinkite, опублікувала бюлетень безпеки. У ньому підтверджено, що проблема з генерацією seed зачіпає Mk3 (прошивка 4.0.1 і новіша); постраждалим користувачам рекомендували обережно мігрувати, а також висловили припущення, що зловмисники могли застосувати ШІ для аналізу відкритого коду з метою пошуку вразливості. Станом на 2 серпня керівник досліджень Galaxy Алекс Торн заявив, що атаки довкола Coldcard продовжують розвиватися: з'являється більше дрібних нападників та імітаторів, які намагаються добратися до решти мнемонічних фраз Coldcard. Подія привернула увагу учасників ринку. Старший ETF-аналітик Bloomberg Ерік Балчунас повідомив, що команда Coldcard налічує лише п'ять співробітників — несподівано мало для настільки значущої компанії. CZ зазначив: "У моделі self-custody навіть якщо розробники закривають уразливість, вони не можуть виправити гаманці, які вже були згенеровані; для користувачів, що працюють з ізольованими пристроями, розробники не можуть напряму зв'язатися або попередити їх. Поки користувачі самі не вживуть заходів, такі гаманці можуть залишатися під ризиком. Я підтримую self-custody, але це означає, що користувач повністю відповідає за власну безпеку". На тлі дискусії про можливе використання ШІ для компрометації криптографічних пристроїв інституційна кастодіальна платформа BitGo першою вийшла з публічним кроком, який має підтримати довіру до галузі. 1 серпня CEO BitGo Майк Белше переказав 100 BTC на публічно доступну біткоїн-адресу й запросив модель Claude від Anthropic спробувати вивести ці кошти. Платформа використовує мультипідпис або технологію MPC, що розподіляє повноваження підпису між кількома незалежними ключами. Станом на 2 серпня Anthropic публічно на цей виклик не відповіла. На цьому тлі біткоїн з 31-го залишається слабким: ціна знизилася з $65 000 до $63 000.