Kradzieże Bitcoinów związane z rozległym exploitem portfeli Coldcard zaczęły zwalniać, ale łączna liczba skradzionych BTC nadal rośnie — i najgorsze być może jeszcze nie minęło.

Takie są najnowsze ustalenia Galaxy Research, firmy badawczej z branży kryptowalut, która śledzi ten exploit od samego początku. Firma poinformowała w czwartek, że exploit polegający na odtwarzaniu seedów Coldcard pozwolił dotychczas ukraść ponad 1 778 BTC — około 112 mln dolarów — a ostateczna kwota będzie najprawdopodobniej wyższa.

Galaxy oświadczyło, że co do tej sumy ma „bardzo wysoką pewność”; obejmuje ona potwierdzone kradzieże przypisane właścicielom od momentu rozpoczęcia ataku 30 lipca, zgodnie z prowadzonym przez firmę wątkiem na X.

„Napastnicy przeprowadzają ten atak co najmniej od wczesnych godzin porannych 30 lipca 2026 roku, systematycznie odtwarzając seedy generowane przez Coldcard i przejmując środki w łańcuchu (onchain)” — napisało Galaxy Research.

Wśród potwierdzonych przez Galaxy fal i śladów aktywności żadna nie wykazuje aktywności po 6 sierpnia. Nie oznacza to, że metoda przestała działać — oznacza to, że łatwe cele się skończyły.

The bulk of funds have remained largely unmoved since stolen from victims. Of the at least 1,778 BTC that has been stolen, 1,531 BTC remains in attacker-controlled addresses unmoved. ~246 BTC has been moved by attackers after the theft, with 65% flowing into Coinjoin transactions… pic.twitter.com/OHjJkr1x6D

— Galaxy Research (@glxyresearch) August 14, 2026

Co pokazuje blockchain

Coldcard, produkowany przez firmę Coinkite z Toronto, to dedykowany wyłącznie Bitcoinowi portfel sprzętowy, od lat popularny wśród zwolenników samodzielnej kontroli nad aktywami — urządzenie promowane z założeniem, że klucze prywatne są generowane i przechowywane bezpiecznie w trybie offline. Aktualizacja firmware'u z 2021 roku po cichu przekierowała generowanie seedów Coldcard ze sprzętowego układu generowania liczb losowych na programowy odpowiednik, co obniżyło siłę klucza ze 128 bitów do zaledwie 40 bitów. Ma to kluczowe znaczenie, ponieważ seed to główny sekret portfela — fraza odzyskiwania, z której wyprowadzany jest każdy klucz prywatny i adres — a 128 bitów entropii to poziom bezpieczeństwa, który inżynierowie uznają za niemożliwy do złamania metodą siłową; 40 bitów już takim poziomem nie jest. Napastnicy mogli odtworzyć seedy na podstawie numeru seryjnego urządzenia i stanu jego zegara, a następnie przejąć monety bez uciekania się do phishingu czy złośliwego oprogramowania — i nawet bez fizycznego dostępu do samych urządzeń.

Według zestawienia Galaxy największa potwierdzona fala — Fala 1 — objęła 1 082,65 BTC pobrane z 1 195 adresów w pierwszych minutach. Odpowiadało to wówczas około 70,5 mln dolarów w Bitcoinach.

Ślad E, największy pojedynczy klaster potwierdzony przez właściciela, objął 209,94 BTC (około 13,3 mln dolarów) na 2 148 adresach, natomiast Fala 3 przejęła 208,24 BTC (niemal 13 mln dolarów) z 1 912 adresów.

Łącznie, w ramach trzech potwierdzonych fal i 41 mniejszych śladów, firma odnotowuje ponad 5 200 okradzionych adresów. Według stanu na blok 962 304 (dane z 13 sierpnia) w rękach napastników pozostawało niewydanych 1 499,27 BTC — niemal 93,9 mln dolarów.

Among the confirmed, high-confidence waves and footprints of attacker activity, none occurred after August 6. Additional victims continue to report to Galaxy Research (we've spoken to 190+ directly), helping us directly attribute losses and confirm additional footprints, but none… pic.twitter.com/8jEdFdJEog

— Galaxy Research (@glxyresearch) August 14, 2026

Z niewielkiej części środków, które Galaxy jest w stanie prześledzić do końcowego punktu docelowego — 174,97 BTC — większość trafiła do rund prywatnościowych coinjoin, czyli transakcji łączących monety wielu uczestników w celu zaciemnienia, do kogo należą poszczególne środki, a niewielkie kwoty dotarły na KuCoin i do Jump Crypto. W celu przypisania strat Galaxy rozmawiało bezpośrednio z ponad 190 ofiarami.

„Wygaszanie fal ataków wynika prawdopodobnie z tego, że podatni na atak użytkownicy przenieśli swoje środki albo większość funduszy została już rozgrabiona” — napisała firma.

Galaxy powtórzyło swoją poradę dla posiadaczy: „Jeśli nadal trzymasz środki w portfelu Coldcard z pojedynczym podpisem, zalecamy przeniesienie ich na nowe adresy”. Ostrzeżenie dotyczy konkretnie konfiguracji z pojedynczym podpisem, ponieważ portfele wielopodpisowe wymagają do autoryzacji wydatku kilku niezależnych kluczy, więc pojedynczy skompromitowany seed sam w sobie nie naraża środków.

Wydarzenia te skłoniły już do przeniesienia około 15 miliardów dolarów w Bitcoinach do bezpieczniejszej formy przechowywania i wywołały ostrzeżenie ze strony konkurencyjnego producenta portfeli sprzętowych, Ledgera, że bezpieczeństwo portfeli musi dostosować się do odkrywania wspomaganego sztuczną inteligencją. Inne firmy z branży zasygnalizowały także wzrost liczby phishingowych ataków żerujących na panice.

Galaxy nadal uwzględnia kandydacką czwartą falę — 638,5 BTC, której nie potwierdziło — która podniosłaby łączne straty do 2 417 BTC, czyli ponad 151,3 mln dolarów po bieżących cenach. To, czy fala ta zostanie włączona do potwierdzonej sumy oraz czy 1 531 BTC znajdujące się na adresach kontrolowanych przez napastników pozostanie nietknięte, to otwarte wątki warte obserwacji — a ponieważ rejestr Bitcoina jest publiczny, nawet nieprzesunięte skradzione środki pozostają widoczne dla każdego, kto śledzi te adresy.