Atak na Coldcard — wymierzony w użytkowników sprzętowego portfela przeznaczonego wyłącznie dla Bitcoina, produkowanego przez Coinkite — wystawia na próbę możliwości śledczych zajmujących się kryptowalutami, ujawniając fundamentalne wyzwanie w mierzeniu strat z włamań do portfeli samoprzechowalnych: bez centralnego rejestru dotkniętych kont prawdziwa skala kradzieży może nigdy nie zostać ostatecznie ustalona.

Firmy zajmujące się analityką blockchainu dochodzą do różnych wyników w zależności od przyjętej metodologii, a szacunki wahają się od potwierdzonych strat po szersze przypisania oparte na wzorcach. Rozbieżność ma znaczenie wykraczające poza precyzję akademicką: rzetelne rozliczenie strat stanowi podstawę ewentualnych starań o odszkodowania dla ofiar, kształtuje uwagę regulatorów wobec standardów bezpieczeństwa portfeli sprzętowych i dostarcza informacji rynkowi ubezpieczeniowemu, który wciąż rozwija produkty pokrycia dla posiadaczy portfeli samoprzechowalnych.

Rozbieżne szacunki od czołowych firm analitycznych

Platforma analityczna CryptoQuant obecnie szacuje potwierdzone straty na 1 432 Bitcoiny. Galaxy Research oraz firma zajmująca się wywiadem blockchainowym TRM Labs wskazują, że ich analizy sugerują wyższe straty, przy czym każda z firm starannie rozróżnia między stratami bezpośrednio potwierdzonymi przez ofiary a środkami przypisanymi atakowi na podstawie wzorców onchain. TRM Labs określił incydent mianem największego ataku na portfel sprzętowy w 2026 roku, a jego analiza wskazuje na około 116 milionów dolarów skradzionych środków.

W przeciwieństwie do włamań do scentralizowanych giełd — gdzie zazwyczaj dostępna jest pełna lista skompromitowanych kont — ataki na portfele samoprzechowalne zmuszają śledczych do konstruowania szacunków na podstawie fragmentarycznych zgłoszeń ofiar, zamiast ustalenia autorytatywnej liczby. To ograniczenie strukturalne jest od dawna znane w branży, ale teraz poddawane jest próbie na masową skalę, co rodzi pytania, czy istniejące narzędzia śledcze — pierwotnie stworzone do śledzenia włamań giełdowych i płatności ransomware — są odpowiednio przystosowane do krajobrazu zagrożeń, w którym głównymi celami są indywidualni użytkownicy portfeli.

Galaxy śledzi straty wykraczające poza zgłoszenia ofiar

Alex Thorn z Galaxy powiedział Cointelegraph, że wcześniejszy szacunek platformy — wynoszący nawet 1 816 BTC — był wartością potencjalną, a nie potwierdzoną sumą strat. Według stanu na wtorek Galaxy określiło swoje minimum o wysokiej pewności na 1 730 Bitcoina — liczba, która według Thorna może nadal rosnąć, gdy kolejne zgłoszenia ofiar potwierdzą wzorce ataku.

Galaxy Research bezpośrednio potwierdziło ponad 450 BTC wyłącznie na podstawie zgłoszeń ofiar, ale te same zgłoszenia pomogły zidentyfikować innych, jeszcze nieznanych poszkodowanych, powiązanych z łączną kwotą ponad 730 BTC — wyjaśnił Thorn.

„Bezpośrednio potwierdziliśmy ponad 450 BTC ze zgłoszeń ofiar, ale ich relacje pomogły zidentyfikować inne, jak dotąd nieznane ofiry związane z łącznie ponad 730 BTC" — powiedział Thorn. „Nadal wstrzymujemy wiele kolejnych BTC, które podejrzewamy, ale brakuje nam wystarczającego potwierdzenia."

TRM Labs oświadczył, że jego niezależne śledztwo ląduje w tym samym przedziale co Galaxy. Najnowsza analiza firmy szacuje, że atakujący wyprowadzili około 1 816 BTC z ponad 5 200 adresów w czterech odrębnych falach.

„Śledczy powinni spodziewać się, że szacunek będzie nadal rosnąć, zanim się ustabilizuje" — powiedział Cointelegraph Ari Redbord, globalny szef polityki TRM.

Powiązane: Hakerzy Coldcard przekazują 64 BTC i 200 ETH do kryptowalutowych mikserów

Konserwatywna metodologia CryptoQuant

Julio Moreno, szef działu badań CryptoQuant, powiedział Cointelegraph, że firma rozpoczyna od publicznych zgłoszeń ofiar — zazwyczaj adresów portfeli lub identyfikatorów transakcji — a następnie weryfikuje je w oparciu o znane wzorce onchain powiązane z atakiem.

Podejście to daje potwierdzony wynik 1 432 BTC, który Moreno określił jako dolną granicę mogącą wzrosnąć, jeśli więcej ofiar publicznie ujawni swoje skompromitowane adresy.

Moreno wyjaśnił, że CryptoQuant celowo unika identyfikowania ofiar wyłącznie na podstawie wzorców onchain, ponieważ grozi to fałszywymi pozytywami i zawyżonym szacunkiem.

„Ponieważ skradziony Bitcoin należał do osób prywatnych, a nie do scentralizowanej instytucji, takiej jak giełda, możemy potwierdzić tylko to, co każda ofiara publicznie ujawni" — powiedział. „Określenie całkowitej liczby skradzionych BTC jest trudne i zawsze pozostanie jedynie szacunkiem."

Inni śledczy wycofują się

Chainalysis poinformował Cointelegraph, że nie przeprowadził niezależnego wyliczenia strat. Śledczy blockchainowy ZachXBT publicznie oświadczył, że nie planuje monitorować ani śledzić tego incydentu.

Magazyn: Czy ataki na Coldcard oznaczają, że wszystkie portfele sprzętowe są teraz niezabezpieczone?