В конце прошлой недели канадская компания Coinkite Inc. уведомила пользователей своих устройств Coldcard о том, что из‑за уязвимости в ключах, защищающих их биткоины, часть кошельков оказалась скомпрометированной. К понедельнику было выведено примерно 1 367 токенов на сумму около 86 млн долларов более чем из 4 500 кошельков, по данным Galaxy Research.
Coldcard — это аппаратное устройство, позволяющее хранить биткоины в так называемых «холодных» кошельках. Такие кошельки считаются самым безопасным способом хранения криптовалюты, поскольку они изолированы от интернета.
Однако из‑за ошибки в программном обеспечении Coldcard генерируемая «сид‑фраза» — длинная последовательность слов, используемая для доступа к кошельку, — оказалась предсказуемой, говорится в отчете инженерной команды Block Inc.
«Это разоблачает заблуждение о том, что ваша криптовалюта действительно офлайн», — заявил Анейрин Флинн, генеральный директор компании в сфере кибербезопасности Failsafe. «Устройство лишь отвечает за генерацию ваших паролей, и если лежащая в основе математика нарушена, ваши пароли можно восстановить методом обратного расчета».
Для некоторых пользователей новости об атаке сначала казались невероятными. Джонатан Гудман, один из пострадавших, сказал, что сначала решил, будто его это не коснулось, но все же проверил свой кошелек. «В тот момент, когда он загрузился, я понял, что мне конец, потому что увидел красные строки со списаниями», — рассказал он Bloomberg. «Между 21:36 и 21:43 29 июля все три моих кошелька были полностью опустошены».
«1,6 миллиона долларов в биткоинах были списаны с моего счета 29 июля в результате взлома кошелька Cold Card. Мои биткоины находились в холодном хранилище. Мои ключи были на устройстве ColdCard, которое хранилось в банковской ячейке и никогда не подключалось к интернету. Дальше будет немного технично, но вот…»
Суть проблемы заключалась в том, как Coinkite реализовала генератор случайных чисел при создании сид‑фраз, отмечает Block. Настоящая случайность — ключевой элемент криптографической безопасности, однако у кошельков Coldcard существовал резервный механизм, из‑за которого ключи могли генерироваться на основе детерминированных значений, таких как серийные номера устройств.
В результате злоумышленники смогли систематически пересчитывать ключи и опустошать пользовательские кошельки. В пятницу сообщения о потерях оценивали ущерб примерно в 38 млн долларов, однако за выходные эта сумма быстро выросла.
В заявлении на своем сайте Coinkite подтвердила, что средства, защищенные сид‑фразами, созданными на затронутой прошивке, находятся под угрозой. Компания сообщила, что исправленная прошивка уже доступна для всех затронутых моделей и веток релизов.
Атака вызвала широкий резонанс в интернете: свои мнения о ее последствиях высказывали как инфлюенсеры, так и руководители компаний.
С начала 2026 года объем похищенной криптовалюты стал ниже, чем годом ранее. За первую половину года общий ущерб составил 972 млн долларов — менее половины от 2,3 млрд долларов, украденных в первой половине 2025 года, говорится в опубликованном в прошлом месяце отчете TRM Labs. Тем не менее общее число взломов выросло до 207 — это наибольшее значение за любой шестимесячный период.
Глобальный руководитель по вопросам политики TRM Ари Редборд отметил, что компрометация инфраструктуры и ключей составляет около 15% инцидентов, но на них приходится 76% всех потерь. «Coldcard показывает, что самостоятельное хранение переносит риск, но не устраняет его», — сказал он.
Для Гудмана этот инцидент стал напоминанием о том, сколько «слепой веры» он вложил в используемую технологию. Он заявил, что больше не намерен инвестировать в биткоин или использовать холодные кошельки.
«Если все действительно настолько сложно и технически запутанно, возможно, этим просто не стоит заниматься», — сказал Гудман. «По сути, никто не понимает, как это все работает».