С 30 июля из кошельков Coldcard выведено около 1816 биткоинов — примерно 114 миллионов долларов — более чем с 5200 адресов. Причина не в фишинге и не в неосторожности владельцев: уязвимой оказалась сама прошивка, точнее механизм генерации ключей.

Это принципиальный момент. Аппаратный кошелёк — инструмент для тех, кто не хочет держать средства на бирже и предпочитает отвечать за ключи сам. Здесь пострадали как раз те, кто делал всё по инструкции: ключ, сгенерированный с изъяном, компрометирует хранилище независимо от поведения владельца.

Аналитики Cantor Fitzgerald ожидают, что после взлома потоки токенов к кастодианам и биржам вырастут, и выигрывают от этого публичные компании вроде Robinhood, Coinbase, BitGo и Gemini. В FRNT Financial считают, что инцидент обнажил компромисс, встроенный в идею самостоятельного хранения, но массового отказа от него не будет — производители кошельков усилят защиту, а часть инвесторов уйдёт в спотовые биткоин-фонды как в регулируемую альтернативу.

Средства с адреса взломщика до сих пор не двигались, а сам кошелёк превратился в публичную доску сообщений: пострадавшие пишут вору прямо в блокчейн.