COLDCARD, producent sprzętowych portfeli Bitcoin, miał 11 października 2026 r. przejęte oficjalne konto na X, a zhakowany profil został wykorzystany do opublikowania fałszywego alertu bezpieczeństwa. Ponieważ wiadomość wyglądała, jakby pochodziła od samej firmy, natychmiast wzbudziła niepokój wśród posiadaczy Bitcoina. Wpis wykorzystywał również wystarczająco dużo prawdziwych szczegółów z przeszłego incydentu, aby na pierwszy rzut oka sprawiać wrażenie wiarygodnego. Zgodnie z fałszywym alarmem firmware urządzeń Mk4, Mk5 i Q zawierał luki, a użytkownikom kazano wypłacić środki przez fałszywą stronę internetową.

Coldcard usunął wpis i zaapelował do użytkowników, aby nie otwierali linku ani nie wchodzili z nim w interakcję — firma potwierdziła, że był to phishing. Firma oświadczyła również, że jej jedyną oficjalną stroną internetową jest

We wpisie na X opublikowanym 11 października 2026 r. COLDCARD oświadczył:

We are investigating how a post containing a phishing link was published from this account. It has since been deleted. Do not visit or interact with that link. COLDCARD's only official website is . This account has used offline 2FA with tightly restricted… pic.twitter.com/bLwwUb1CVu

— COLDCARD (@COLDCARDwallet) October 11, 2026

Źródło: COLDCARD na X

Incydent wzbudził ponowny niepokój, ponieważ sprawcy najwyraźniej wykorzystali pamięć o kryzysie bezpieczeństwa portfeli Coldcard, kiedy wadliwe generowanie portfeli przyniosło straty finansowe szacowane na 100–130 milionów dolarów. Mimo włamania Coldcard poinformował, że nie znalazł żadnych przesłanek dostępu do swoich systemów wewnętrznych i bada, jak atakującym udało się przejąć kontrolę nad kontem na X.

Co się wydarzyło podczas włamania na COLDCARD?

Atak polegał na rozpowszechnianiu fałszywego alertu bezpieczeństwa opublikowanego przez stronę firmy na X. Zgodnie z treścią wiadomości atakujących firmware różnych sprzętowych portfeli Coldcard — w tym modeli Mk4, Mk5 i Q — zawierał lukę zagrażającą klientom. Użytkownikom zalecono odwiedzenie zewnętrznej strony internetowej w celu zabezpieczenia swoich aktywów krypto. Ostrzeżenie nie było jednak prawdziwe i miało na celu przeprowadzenie kampanii phishingowej.

Coldcard oświadczył, że bada, w jaki sposób wpis został opublikowany z jego konta. Firma zwróciła się również do pomocy technicznej X z prośbą o zbadanie złośliwej aktywności na platformie. Incydent pokazuje, jak atakujący mogą wykorzystać konto w mediach społecznościowych legalnej firmy, aby nadać oszustwu wiarygodność, oraz uwypukla dodatkowe niebezpieczeństwo związane z przejęciem tego rodzaju konta, ponieważ użytkown skłaniają się do tego, by traktować polecenia producenta swojego portfela sprzętowego poważniej. Fałszywy alert opublikowany w imieniu samego producenta jest trudniejszy do odrzucenia niż zwykła wiadomość oszukańcza, ponieważ dociera przez kanał, któremu użytkownicy są przyzwyczajeni ufać.

Włamanie na COLDCARD wykorzystuje lipcowy kryzys portfeli

Wygląda na to, że atak wykorzystał pilny problem, z którym w lipcu 2026 r. zmierzyli się użytkownicy Coldcard, kiedy błąd oprogramowania doprowadził do generowania portfeli o niskiej jakości losowości, przez co klucze prywatne były łatwe do złamania za pomocą ataków offline. Szacowane straty z tamtego incydentu wyniosły około 1600–1800 BTC, co odpowiada wartości około 100–130 milionów dolarów. W przeciwieństwie do konwencjonalnego schematu phishingowego ten rodzaj kradzieży nie polegał na proszeniu ofiar o frazy odzyskiwania.

Lipcowy problem dotyczył wersji firmware 4.2.0 dla Mk3, 5.6.0 dla Mk4/Mk5 oraz 1.5.0Q dla Q. Nawet po zidentyfikowaniu dotkniętych wersji portfele, którym zagrażało ryzyko, nadal wymagały nowej frazy seed i przeniesienia środków do nowo utworzonych portfeli.

W październikowym incydencie wiadomość oszukańcza ponownie wykorzystała informacje z lipcowego zdarzenia, w tym typy urządzeń i wersje firmware, aby fałszywy alarm sprawiał wrażenie wiarygodnego i skłonił ofiary do szybkiego działania.

Coldcard zaprzecza włamaniu do systemów wewnętrznych

Pomimo zhakowania oficjalnego konta X firmy Coldcard zaprzeczał jakimkolwiek oznakom naruszenia swoich systemów wewnętrznych. Firma oświadczyła, że przegląd logów nie wykrył nieautoryzowanego dostępu, a poświadczenia oraz offline uwierzytelnianie dwuskładnikowe — metoda zabezpieczeń stosowana od 2017 r. — pozostały nienaruszone.

Coldcard skontaktował się z pomocą techniczną X, aby dokładniej zbadać sytuację, i wskazał możliwość nieautoryzowanego dostępu poprzez platformę lub jej administrację, choć dokładny mechanizm ataku pozostaje nieznany. Firma odnotowała również doniesienia i plotki o sprzedaży wewnętrznych narzędzi X na ciemnych rynkach, jednak powiązanie z tym atakiem nie zostało udowodnione.

Włamanie na COLDCARD nie potwierdza żadnego naruszenia sprzętowych portfeli firmy ani środków klientów. W przypadku portfeli sprzętowych kontrola nad środkami spoczywa na urządzeniu użytkownika i frazie odzyskiwania, a nie na obecności producenta w mediach społecznościowych — dlatego samo przejęcie konta nie przekłada się na naruszenie portfeli. Kluczowe otwarte pytanie dotyczy tego, jak atakujący uzyskali kontrolę nad kontem, a rozwojowi dochodzenia Coldcard i zapytania skierowanego do pomocy technicznej X warto się przyglądać.

Kto jest zagrożony w związku z włamaniem na COLDCARD?

Włamanie stanowi przede wszystkim zagrożenie dla osób, które kliknęły link phishingowy i wprowadziły swoje dane portfela. Każdy, kto zdobędzie 24-wyrazową frazę odzyskiwania użytkownika, może potencjalnie uzyskać dostęp do portfela i opróżnić go ze środków. Użytkownicy, którzy nie kliknęli linku i nie udostępn nikomu swojej frazy odzyskiwania, nie zostali zidentyfikowani jako potencjalne ofiary próby włamania.

Użytkownicy Coldcard powinni zachować ostrożność przy weryfikacji autentyczności wszelkich wiadomości i nigdy nie podawać swojej frazy odzyskiwania na żadnej stronie internetowej.

Włamanie na konto Microsoft uwypukla ryzyko oszustw krypto

Profil Coldcard w mediach społecznościowych nie jest jedynym kontem dużej marki wykorzystanym do publikowania mylących informacji o kryptowalutach. Donoszono również, że profil X firmy Microsoft został wykorzystany do promowania oszustwa krypto — przypomnienie, że nawet największe firmy technologiczne nie są odporne na przejęcia kont. Takie przypadki pokazują, jak hakerzy wykorzystują dobre imię popularnych marek do tworzenia wprowadzających w błąd wpisów.

Transakcje z udziałem kryptowalut są nieodwracalne, co oznacza, że każda udana próba phishingu prowadzi bezpośrednio do strat. Włamanie na COLDCARD uwypukla, jak przeciwnicy wykorzystują rzeczywiste naruszenia bezpieczeństwa, aby skłonić ofiary do działania bez weryfikacji źródła. Posiadacze kryptowalut powinni weryfikować każdy alert poprzez właściwe kanały, jednocześnie chroniąc swoje frazy odzyskiwania. Do czasu zakończenia dochodzeń przyjmuje się, że incydent ogranicza się do przejęcia konta w mediach społecznościowych.