История с хищением биткоина у владельцев аппаратных кошельков Coldcard, о которой мы писали 2 августа, за выходные перестала быть отдельным инцидентом. К утру 3 августа CoinDesk насчитал более 5200 пострадавших адресов и около 1816 BTC — по курсу того же дня это порядка $114 млн. Для сравнения: первые три волны укладывались в 4585 адресов и 1367 BTC.

Счёт идёт именно волнами. Первая, 30 июля, забрала 1083 BTC с 1196 адресов за 41 минуту — скорость опустошения кошельков тогда превысила обычный фон примерно в 45 раз. Вторая и третья прошли за выходные. Четвёртая началась ранним утром понедельника, и в ней злоумышленник впервые оставил транзакции с включённым replace-by-fee: пока перевод висит неподтверждённым в мемпуле, владелец может перебить его собственной транзакцией с более высокой комиссией. Глава исследований Galaxy Research Алекс Торн обратил внимание, что такие переводы переписываются до подтверждения, — но окно измеряется минутами.

Сломался не биткоин, а генератор случайных чисел

Протокол и микросхема тут ни при чём. В марте 2021 года при переходе на новую криптобиблиотеку в прошивку Coldcard попала ошибка: генерация seed-фразы ушла на программный генератор случайных чисел вместо аппаратного. По разбору самой Coinkite, у части устройств энтропия seed упала примерно до 40 бит вместо ожидаемых 128, у других моделей — до 72 бит. Сорок бит перебираются. Уязвимость касается одноключевых кошельков; мультиподписные схемы не затронуты. Производитель выпустил исправленные прошивки и просит перегенерировать seed на обновлённом устройстве, а средства перевести на новые адреса.

Держатели понесли монеты обратно на биржи

Самое любопытное — реакция. После краха FTX в 2022 году люди массово забирали монеты с бирж в собственное хранение. Сейчас движение обратное. По данным CryptoQuant, 31 июля объём биржевых депозитов переводами меньше 10 BTC подскочил до 7300 BTC — максимум с 6 февраля, а чистый приток на биржи составил 11 163 BTC. Число активных адресов за сутки выросло с 645 тысяч почти до миллиона.

Для белоруса этот разворот упирается в норму права. Указ № 367 от 17 сентября 2024 года запрещает физлицам покупать и продавать криптовалюту вне белорусских криптобирж и криптообменников — то есть вне операторов со статусом резидента ПВТ. Рефлекс «на всякий случай уведу на биржу» здесь означает конкретный короткий список площадок, а не произвольную зарубежную. При этом закон регулирует куплю-продажу, а не хранение: за то, на каком устройстве и с какой прошивкой лежат ваши ключи, не отвечает ни ПВТ, ни Нацбанк. Порядок действий владельца устройства от юрисдикции при этом не зависит: сверить версию прошивки и заменить seed, сгенерированную на затронутых сборках.