Канадский предприниматель за менее чем семь минут лишился более $1,6 млн в биткоинах (BTC), хранившихся на аппаратном кошельке Coldcard, — и это лишь часть волны атак, общий объём которой может достигать 1367,05 BTC.

Этот случай обнажает неприятную правду о самостоятельном хранении: даже если всё сделать правильно, этого может оказаться недостаточно.

Как один держатель потерял 18 BTC за семь минут

Холодное хранение означает, что приватные ключи находятся на устройстве, которое никогда не подключается к интернету. Джонатан Гудман тщательно следовал этому принципу, храня свой Coldcard в банковской ячейке.

Его 18,25 BTC лежали в кошельках, защищённых в нескольких сейфах. Он никогда не раскрывал свою seed-фразу и держал каждое устройство изолированным от онлайн-доступа.

Но 29 июля 2026 года всё это не имело значения. С 21:36 до 21:43 того вечера все кошельки, которыми он управлял, были опустошены.

Подписывайтесь на нас в X, чтобы первыми узнавать последние новости.

Впервые Гудман услышал о более широкой проблеме, находясь на своей даче.

Полагая, что его это не коснётся, он проверил балансы в программном кошельке Wasabi и обнаружил серию красных транзакций вывода средств.

Уязвимость восходит к 2021 году. Ошибка в коде, генерирующем seed-фразы, оставила определённые устройства уязвимыми, и злоумышленники, как утверждается, использовали искусственный интеллект для перебора затронутых seed-фраз.

Он подаёт заявления в полицию и Комиссию по ценным бумагам Онтарио. Надежды на возврат средств остаются призрачными, хотя он написал, что тяжелее всего осознавать, что он сделал всё правильно.

Масштаб выходит далеко за рамки одной жертвы. Galaxy Research выявила три предполагаемые волны атак, нацеленные на адреса, сгенерированные устройствами Coldcard.

Эти волны затронули 4585 адресов-источников и вывели 1367,05 BTC на сумму около $88,6 млн на момент публикации.

Что Galaxy Research обнаружила в данных об атаках

Глава Galaxy Research Алекс Торн указывает, что атаки, судя по всему, продолжаются. Он призвал пользователей, которые ещё не перевели средства из потенциально уязвимых конфигураций, действовать немедленно.

Первые две волны демонстрировали схожие схемы транзакций и, возможно, имеют общего оператора, хотя это остаётся неподтверждённым. Третья значительно отличалась, что указывает либо на обновлённые инструменты, либо на отдельного участника, эксплуатирующего то же пространство ключей.

Похищенные биткоины остаются на адресах, контролируемых злоумышленниками, без дальнейшего движения. Опустошённые средства в среднем оставались нетронутыми 3,18 года, что говорит о том, что большинство жертв были долгосрочными держателями, а не институциональными игроками.

В Galaxy подчеркнули важную оговорку. Их выводы основаны исключительно на данных ончейн и не подтверждают окончательно недостаточную случайность при генерации затронутых адресов.

«…это удар по самостоятельному хранению биткоина, и нам как сообществу нужно работать лучше: над безопасностью, над образованием и над реалистичным отношением к сложности, ожиданиям и рекомендациям, которые мы даём друзьям, семье и общественности…», — сказал Алекс Торн.

Аналитик Шанака Ансельм Перера обратил внимание на более глубокую иронию в собственной документации Coldcard. В руководстве метод генерации seed-фразы по умолчанию описывается как тот, которому устройство доверяет больше всего, и одновременно помечается как низкорисковый для пользователей.

Подписывайтесь на наш YouTube-канал, чтобы смотреть, как лидеры и журналисты делятся экспертными мнениями.

В том же устройстве существуют альтернативы. Пользователи могут комбинировать вывод аппаратного обеспечения с бросками игральных костей или полагаться только на кости, что, согласно руководству, полностью устраняет доверие к оборудованию. Большинство пользователей, вероятно, шли по пути по умолчанию. Именно этот метод Galaxy Research теперь связывает с потерями.

Концептуальное противоречие лежит глубже. Воспроизводимость, ценимая при проверке прошивки, становится уязвимостью при генерации секрета, поскольку и слабые, и сильные seed-фразы дают действительные 24-словные фразы, которые выглядят одинаково.

Устройства, продвигаемые под лозунгом «Не доверяй, проверяй», всё равно могут скрывать изъяны энтропии, не оставляя видимых следов. Затронутым пользователям следует оценить свои конфигурации и при необходимости перевести средства.

Источник: BeInCrypto