Bitcoin Magazine
Охота на хакера Coldcard. Вор из «первой волны», возможно, известен ФБР
Правоохранители, возможно, уже знают, кто опустошил более тысячи биткоинов из кошельков Coldcard в первой и крупнейшей волне вывода средств в июле 2026 года. Расследование Block полагает, что оно проследило ончейн-выводы атакующего до платного аккаунта у крупного поставщика блокчейн-данных, чьи внутренние логи совпали с паттерном кражи с «чрезвычайной точностью».
Важное уведомление: атака продолжается, целясь в слабые приватные ключи, сгенерированные на устройствах вплоть до MK2 с прошивкой 4.0.1 и позже. Если у вас может быть такое, перепроверьте и переместите средства как можно скорее. См. рекомендацию Coinkite и страницу статуса.
Монеты из той волны — 1082,65 BTC — всё ещё лежат нетронутыми в адресе атакующего, оставляя надежду, что возврат может быть возможен жертвам и законным владельцам той первой волны украденного биткоина. Вопрос теперь в том, кто хакер и указывает ли тот же след на изощрённого чужака, или же пятилетний баг энтропии, сделавший кражу возможной, был чем-то ближе к инсайдерской «пенсионной атаке», о которой сама Coinkite когда-то предупреждала.
Что мы знаем
30 июля 2026 года атакующий начал систематически выводить Bitcoin из аппаратных кошельков Coldcard, которые сгенерировали сиды под уязвимой прошивкой, — баг, остававшийся необнаруженным годами. Только первая и крупнейшая волна переместила 1082,65 BTC. Последовали дальнейшие волны, с оценками свыше 2 тыс. BTC. Алекс Торн из Galaxy Research отслеживал активность через сочетание ончейн-анализа паттернов и добровольных сообщений жертв. По состоянию на начало августа подтверждённые и оценочные потери по нескольким волнам превысили 1800 BTC с более чем 5000 адресов, хотя точные итоговые суммы продолжают уточняться по мере поступления новых сообщений. В долларовом выражении подтверждено украдено примерно $118 млн.
Торн публично обсуждал возможность того, что правоохранители уже держат конкретный след оператора за крупнейшим траншем. В сегменте Bitcoin Policy Institute на YouTube-канале Bitcoin Magazine Торн заявил: «Личность первой волны, личность атакующего, может быть известна правоохранителям». Он добавил, что первая волна остаётся крупнейшим единичным куском, выявленным пока, с монетами, всё ещё лежащими в адресе атакующего, и отметил, что паттерн второй волны выглядит достаточно похожим, чтобы в неё мог быть вовлечён тот же актор. Вторая волна добавляет ещё около 76 биткоинов к общей сумме.
Основной источник утверждения о том, что личность хакера может быть известна, — Клэй Гарретт, инженерный руководитель в Block, работающий над Bitkey. 31 июля 2026 года Гарретт опубликовал выводы расследования Block:
«В ходе нашего расследования вывода средств из Coldcard вчера мы выявили необычный паттерн в выводах. Этот паттерн привёл нас к гипотезе, которая с тех пор подтвердилась: оператор использовал платный аккаунт у известного поставщика блокчейн-услуг, чтобы запрашивать исходные адреса и выполнять другую связанную активность во время выводов».
«Мы связались с поставщиком напрямую. Их внутренние логи совпали с предполагаемым рабочим процессом с чрезвычайной точностью, включая число, тайминг и последовательность запросов. Поставщик предоставлял свои стандартные услуги в ответ на запросы, которые не раскрывали их более широкой цели. Мы не видели доказательств того, что поставщик сознательно участвовал в предполагаемой краже или способствовал ей». Гарретт сказал и добавил: «Мы делимся соответствующей информацией с надлежащими властями. Мы предоставим дальнейшие обновления, когда это не будет мешать расследованию».
Торн и другие отметили, что более поздние, меньшие волны показывают иные операционные паттерны — некоторые быстрые, оппортунистические выводы с последующей быстрой отмывкой, — что предполагает, что дополнительные акторы могли реверс-инжинирить то же слабое пространство сидов после первоначального публичного раскрытия. Самостоятельно сообщённые подтверждённые выводы, похоже, резко замедлились после 6 августа, хотя многие потенциально уязвимые сиды, сгенерированные на затронутой прошивке между 2021 годом и патчем июля 2026-го, остаются в риске, пока пользователи не мигрируют.
Пенсионная атака?
Природа сбоя породила теории заговора об инсайдерских атаках, которые сама Coinkite когда-то публично обсуждала. В октябре 2021 года официальный аккаунт COLDCARD определил «пенсионную атаку» как сценарий, «когда создатели проекта могли бы иметь „баг“ в генерации энтропии для последующего извлечения».
Критическое изменение вошло в кодовую базу 1 марта 2021 года в коммите под названием «First pass w/ libNgU» (b18723dd). Тот коммит заменил оставшуюся производную от Trezor криптографию и код BIP-39 новой библиотекой libngu и перекоммутировал генерацию сидов. Предполагаемым результатом было то, что вызов случайности разрешался в аппаратный истинный генератор случайных чисел STM32. Однако баг перенаправил вызов вместо этого к программному PRNG Yasmarang от MicroPython, что привело к эффективному коллапсу энтропии примерно до 40 бит на более старых моделях и около 72 бит на новых. Это означало, что сгенерированные приватные ключи Bitcoin были эффективно угадываемы современным вычислительным оборудованием. Этот обмен криптографических библиотек был запушен в кодовую базу Doc-Hex, также известным как Питер Грей, технический директор Coinkite.
Этот шаг, возможно, был обусловлен лицензионным давлением, по словам гендиректора и основателя Foundation Devices Зака Херберта, хотя Coinkite отрицала это как основную мотивацию изменения кода, сказав: «COLDCARD пришлось внести это изменение, чтобы перейти на libsecp256k1; изменение лицензии к этому нерелевантно. libsecp256k1 — стандартная библиотека, используемая Bitcoin Core».
Coldcard использовала производный от Trezor код под открытой лицензией GPLv3. После того как Foundation Devices форкнула связанный материал, Coinkite стремилась перевести оставшиеся компоненты на более ограничительное соглашение MIT + Commons Clause, ограничивавшее коммерческое повторное использование. Переписывание было крупным и несло сложные инженерные цели; именно эта интеграция, возможно, и оставила тихий сбой в пути энтропии.
Скептицизм по поводу миграции прочь от криптобиблиотеки Trezor возник уже 7 апреля 2021 года со стороны участника Telegram-группы Coinkite, который написал: «действительно ли мы хотим заменить многолетний код TrezorCrypto, который был тщательно проверен вайтхэтами вроде Johoe и пентестен wallet.fail», добавив: «switch может быть талантливым псевдонимным кодером, но его история коммитов ужасна». Критику, однако, сочли недостаточной и быстро отмахнулись от неё в лице NVK, который раскритиковал библиотеку Trezor как «шиткоин-балаган». Иронично, но совместное использование той кодовой базы с более широким крипторынком под открытой лицензией означало, что криптобиблиотека Trezor имела куда более глубокий обзор кода, чем Libngu когда-либо получит, даже годы спустя.
Switch и Питер Грей aka Doc-Hex
Обмен криптографических библиотек, внёсший баг, был запушен в кодовую базу Doc-Hex, техническим директором Coinkite, также известным как Питер Д. Грей. Он заменил GPLv3-криптобиблиотеку Trezor на Libngu — малоизвестную кодовую базу, созданную так называемым «Switch», нимом, который вплоть до создания Libngu не имел очевидной прежней истории. Аккаунт Switch появился в X 3 августа 2019 года с упоминанием DEFCON — международной хакерской конференции, мероприятия, которое обычно посещают инженеры по кибербезопасности всех видов.
16 октября 2020 года Switch поблагодарил Doc-Hex в X за слияние своего кода: «Спасибо за merge @DocHex … Я делаю ещё одну биткоин-библиотеку. Могла бы пригодиться на @COLDCARDwallet когда-нибудь». Через несколько дней Switch твитнул ссылку на Libngu, гордясь тем, что построил «полезную вещь».
Однако вот где становится странно. Согласно исследованию контрибьютора Bitcoin Core Джеймса О'Бейрна, Switch и Питер Д. Грей подписывали коммиты кода одними и теми же GPG-ключами. О'Бейрн продемонстрировал через GPG-подписи коммитов, что десятки коммитов, авторизованных как switck, были подписаны личным ключом Питера Д. Грея, сооснователя и техдиректора Coinkite, который также действует как DocHex. Зак Херберт также утверждал, что номера телефонов, оканчивающиеся на те же две цифры, были привязаны к аккаунтам DocHex и switck в X (пост). Дополнительные исследователи указали на совпадающие паттерны регистрации DNS.
Ни Грей, ни Coinkite публично не отреагировали на находки о GPG-подписях на момент написания и не ответили, когда их попросили прокомментировать тему. Аккаунт Switch активен по сей день, сливая изменения кода в Libngu ещё 17 августа 2026 года.
Многие в биткоин-индустрии воспринимают это как некое побочное свидетельство неправомерных действий. Зачем идти на всё, чтобы создать ним лишь ради конкретной криптографической библиотеки? Это восприняли как некое свидетельство злого умысла; однако более глубокий анализ говорит иное. Если бы Грей действительно намеревался обмануть пользователей Coldcard этим RNG-багом, стал бы он подписывать коммиты своим личным GPG-ключом? Мог бы кто-то быть настолько хитрым, чтобы годами прятать баг, ожидая распространения его принятия, и при этом забыть создать отдельную GPG-подпись для одноразового нима? Не думаю, что это сходится.
Скорее всего, это была случайная личность, созданная на DEFCON Греем, вероятно, в случайном приступе паранойи. Личность, которую он продолжал использовать для определённых проектов на протяжении лет. Псевдонимные личности не необычны в кругах биткоин-разработчиков в конце концов. Сам Сатоши остаётся самым известным примером. И потому сама по себе эта связь между Греем и Switch, пожалуй, мало что значит в охоте на хакера Coldcard.
Контрибьюторы MicroPython
Горстка других open-source разработчиков также недавно была идентифицирована как трогавшая или влиявшая на код, сыгравший роль в RNG-баге Coldcard.
Дата-аналитик LaurentMT изучил сторону MicroPython пути RNG. MicroPython — это компактная и открытая реализация Python 3, разработанная для запуска на микроконтроллерах и вычислениях с ограниченными ресурсами. Прошивка Coldcard в итоге вызывала запасной псевдослучайный генератор чисел (PRNG) Yasmarang от MicroPython в результате бага, что вело к низкоэнтропийной генерации.
Изменения кода логики PRNG в MicroPython начались 20 августа 2020 года с issue (#6347), открытого на GitHub пользователем по имени mirko. Он пожаловался, что его оборудование ESP32 всегда возвращало один и тот же результат при вызове функции random.choice() в коде определённым образом. Mirko ожидал случайных результатов вместо этого. Лог issue на GitHub фиксирует обсуждение в последующие месяцы о правильном способе обработки связанной логики и ожидаемого поведения, которое, как раскрыл Mirko, имело контринтуитивный дизайн.
Laurent отмечает, что «robert-hh инициировал [Pull Request], реализующий изменение сидинга PRNG» 22 августа 2020 года. Dpgeorge, мейнтейнер MicroPython, позже, 29 октября 2020 года, слил слегка модифицированную версию того pull request в мастер-репозиторий, реализовав «(UID+SysTick+RTC), чтобы устранить некоторые ограничения в решении robert-hh».
Изменения этого критического RNG-связанного кода, таким образом, были в мастер-репозитории MicroPython, когда Coldcard форкнула его для использования Libngu, — однако до того, как MicroPython сделала официальный новый релиз библиотеки. По-видимому, считается рискованным строить поверх мастер-версии репозитория ПО, которая, вероятно, эволюционирует с изменениями кода, вместо того чтобы строить поверх официальной стабильной релизной версии. Новый релиз MicroPython пришёл лишь 3 февраля 2021 года с версией v1.14. В довершение всего изменение RNG-логики было лишь кратко упомянуто в объявлении релиза, гласящем: «модуль urandom будет рандомизировать свой сид при импорте на портах stm32, esp8266, esp32 и rp2».
Источник: BitcoinMagazine
