Крупнейший взлом Coldcard: 594 BTC украдены с 500 кошельков в одной операции

Аналитики Atlas21 предупреждают о беспрецедентной атаке: неизвестные автоматизированно опустошили 500 холодных кошельков Coldcard от Coinkite, похитив 594,5 BTC за одну операцию. Ущерб оценивается в $38 млн — этот инцидент подчеркивает уязвимости даже в аппаратных решениях и может спровоцировать коррекцию на 10% на рынке.

Как прошла атака на кошельки Coldcard

По данным Atlas21, злоумышленники вывели 1324 UTXO — неизрасходованных выхода транзакций, то есть остатка биткоинов, которые оставались на адресах после прошлых операций. Украденная криптовалюта пока не ушла ни на биржи, ни в криптомиксеры: 562 биткоина лежат на новом адресе, еще 32 биткоина находятся на промежуточном.

Каждая транзакция забирала средства ровно с одного адреса жертвы. На 419 адресах был только один UTXO, но у части кошельков накопилось значительно больше выходов — вплоть до 105 и 200 UTXO.

Медианный ущерб на одного пострадавшего составил 0,41 BTC, или около $26 500. При этом 110 пользователей потеряли больше 1 биткоина, а самый крупный зафиксированный убыток достиг 29,9 BTC — почти $2 млн. Ни один из кошельков не лишился суммы меньше 0,15 BTC, поэтому специалисты по безопасности допускают, что атакующие заранее отсекали адреса с небольшим балансом.

С чего началось расследование

Поводом для разбирательства стал пост на Reddit, где один из пользователей рассказал о краже средств. По его словам, он купил Coldcard в 2021 году, создал на устройстве сид-фразу из 24 слов, перевел на кошелек деньги и затем несколько лет не проводил с ним никаких операций.

В январе 2025 года пользователь приобрел второй Coldcard и ввел туда прежнюю сид-фразу, чтобы проверить корректность слов. Он утверждает, что никому не раскрывал фразу восстановления и использовал ее только на устройствах Coldcard.

Что признала Coinkite

Coinkite подтвердила наличие проблемы безопасности, связанной с сид-фразами, созданными на устройствах Coldcard Mk3. Компания рекомендовала всем владельцам Mk3, которые генерировали фразу на прошивке 4.0.1 от марта 2021 года или на более поздних версиях, считать свои средства потенциально уязвимыми.

По заявлению производителя, модели Mk4, Q и Mk5 этой проблемой не затронуты. Владельцам Mk3 компания советует создать уникальную парольную фразу BIP-39 прямо на устройстве и перевести активы на новый кошелек.

Coinkite при этом признает, что точная причина уязвимости пока не установлена. Известно лишь, что среди пострадавших не было ни одного мультиподписного кошелька.

Версия аналитиков: слабые сид-фразы

В Atlas21 считают, что источник проблемы может быть не в самом аппаратном кошельке, а в качестве сид-фраз. По версии аналитиков, часть пользователей могла импортировать в устройство уже скомпрометированные или слишком легко подбираемые наборы слов.

Если при создании фразы не хватает случайности, приватные ключи к отдельным UTXO становятся уязвимыми для подбора. В таком сценарии решающую роль играет не только поведение пользователя, но и качество процесса генерации: генератор псевдослучайных чисел или иной механизм создания энтропии не должен давать предсказуемый результат.

История с Coldcard снова показывает, насколько критична защита сид-фразы для любого владельца Биткоина. На рынке криптоинфраструктуры, где рядом работают производители кошельков, платежные сервисы и участники вроде Orbit Markets, тема хранения ключей остается одной из самых чувствительных. Кэролайн Морон и другие представители индустрии также регулярно обращают внимание на риски, связанные с безопасностью пользовательских средств.

Недавно еще один инцидент произошел с сингапурской Triple-A, которая предоставляет бизнесу инфраструктуру для платежей в стейблкоинах и других криптоактивах. Компания пострадала от хакерской атаки, а ущерб оценили в $11,8 млн.

{ "@context": "https://schema.org", "@type": "Article", "about": [ { "@type": "Thing", "name": "биткоин" }, { "@type": "Thing", "name": "криптовалюта" }, { "@type": "Thing", "name": "доллар США" }, { "@type": "Product", "name": "Coldcard" }, { "@type": "Organization", "name": "Coinkite" }, { "@type": "Organization", "name": "Atlas21" }, { "@type": "Thing", "name": "генератор псевдослучайных чисел" } ] }