#Web3SecurityGuide Оценки убытков от взлома безопасности аппаратного кошелька Coldcard стремительно превысили $130 миллионов, и корень проблемы заключается в поразительной детали: проблема оставалась незамеченной в течение пяти лет.

Согласно последнему исследованию Galaxy Research, убытки, связанные с Coldcard, достигли 2,055 BTC, или примерно $130 миллионов, затронув более 7,700 адресов. По оценкам, от двенадцати до пятнадцати различных злоумышленников независимо друг от друга воспользовались одной и той же уязвимостью — эту цифру в основном подтвердил сооснователь Elliptic в интервью TechCrunch. Атака проходила волнами: только в ходе первой волны с примерно 1,196 адресов за сорок одну минуту было выведено 1,082 BTC, после чего последовали ещё три волны, доведшие общий объём потерь до текущего уровня.

Техническое происхождение уязвимости действительно примечательно. Проблема возникла в версии прошивки 4.0.1, выпущенной в марте 2021 года, из-за которой некоторые устройства перенаправляли генерацию seed-фразы от аппаратного генератора случайных чисел к детерминированному резервному механизму на базе MicroPython. Это означает, что кошельки, созданные на версиях прошивки с 4.0.1 по 4.1.9, могли генерировать предсказуемые приватные ключи, доступные для взлома методом перебора, примерно в течение пяти лет, не вызывая обнаружения проблемы. Уязвимость была выявлена в ходе совместного расследования инженерных команд производителя Coinkite и Block.

Как вы упомянули, этот инцидент чрезвычайно наглядно демонстрирует тот факт, что приватные ключи по-прежнему являются единой точкой отказа для криптоактивов. По словам генерального директора Blockaid, это «первородный грех» индустрии, поскольку Coldcard был разработан именно для устранения рисков, характерных для устройств, подключённых к интернету, за счёт хранения приватных ключей в автономном режиме, однако уязвимость скрывалась в собственном процессе генерации ключей устройства. Даже если большинство жертв соблюдали все задокументированные рекомендации по безопасности, это не защищало их от первопричины уязвимости.

Ещё одним значительным побочным эффектом инцидента стала фишинговая волна, спровоцированная самой атакой. Конкурирующие производители аппаратных кошельков, такие как Trezor и Foundation, сообщили об увеличении числа фишинговых кампаний, пытавшихся воспользоваться уязвимостью Coldcard. В рамках этих кампаний использовались поддельные сайты «аудита аппаратного обеспечения» для кражи фраз восстановления пользователей, а также боты, выдававшие себя за настоящих представителей службы поддержки. Согласно данным TRM Labs, примерно 76% стоимости, украденной в результате криптовалютных взломов в первой половине 2026 года, пришлось на взломы инфраструктуры и операционные нарушения, особенно кражи приватных ключей и seed-фраз. Это указывает на то, что инцидент с Coldcard не был единичным случаем, а являлся частью более широкой тенденции.

Это событие подтверждает обоснованный призыв к производителям аппаратных кошельков пересмотреть процессы разработки программного обеспечения, безопасность цепочек поставок и обучение пользователей. Хотя открытый исходный код и независимые аудиты повышают безопасность, они не дают гарантий, что и демонстрирует этот инцидент: наиболее явным доказательством является ошибка регрессии, которая оставалась незамеченной в течение пяти лет.

Для пользователей, хранящих биткоины в аппаратных кошельках через Gate, практический шаг следующий: любое устройство Coldcard, на котором seed-фраза была сгенерирована в версиях прошивки с 4.0.1 по 4.1.9, считается потенциально скомпрометированным. Средства необходимо перевести на новый кошелёк с повторно сгенерированной seed-фразой на обновлённой прошивке; простое обновление прошивки не защищает уже скомпрометированную seed-фразу. В этот период также необходимо с осторожностью относиться к любым сообщениям, содержащим «проверки безопасности», или запросам от службы поддержки и ни при каких обстоятельствах не сообщать фразу восстановления третьим лицам.

DYOR 🔎