Владельцы аппаратных кошельков Coldcard столкнулись с массовой кражей средств: тремя волнами злоумышленники вывели около 1367 BTC — примерно $89 млн по текущему курсу. Атака затронула 4585 адресов и, по данным Galaxy Research, началась 30 июля 2026 года.

Корень проблемы — прошивка, выпущенная ещё в марте 2021 года. В ней генерация seed-фразы пошла через предсказуемый программный алгоритм вместо аппаратного источника случайности. В результате получился ограниченный, воспроизводимый набор ключей, который атакующие смогли перебрать офлайн, не имея физического доступа к самим устройствам.

Как разворачивалась атака

Первая волна 30 июля оказалась самой разрушительной: за 41 минуту с 1196 адресов увели 1083 BTC — в среднем почти по целому биткоину с жертвы, а средства собирались на несколько общих адресов. Во второй и третьей волнах, прошедших в конце недели, забрали ещё 208 BTC с 1912 адресов, около 0,1 BTC с каждого. Здесь тактика изменилась: у каждой жертвы был отдельный адрес назначения, а транзакции объединялись сложнее.

В Galaxy Research отметили, что каждая волна действовала как единый субъект, но подтвердить единую координацию всех трёх этапов нельзя — «блокчейн их не различает». Спустя почти трое суток после начала атаки вывод средств продолжался, хотя наиболее прибыльная часть пространства ключей была уже выбрана.

Что проверить владельцам

Если вы пользуетесь Coldcard, первым делом выясните, когда и на какой прошивке создавался ваш кошелёк. Seed-фразы, сгенерированные на устройстве около марта 2021 года, — в зоне риска. Самый надёжный шаг — на актуальной, обновлённой прошивке сгенерировать новый seed с использованием аппаратного источника случайности (а по возможности с добавлением собственной энтропии, например бросками кубика) и перевести средства на свежие адреса. Старый seed после этого считать скомпрометированным и больше нигде не использовать.