Мелкие держатели Bitcoin перемещали монеты 31 июля в темпе, не наблюдавшемся со времени краха FTX, по данным CryptoQuant, на фоне новостей о том, что ColdCard — аппаратный кошелёк только для Bitcoin, производимый базирующейся в Торонто компанией Coinkite — на протяжении пяти лет генерировал предсказуемые ключи.

Переводы объёмом менее 1 BTC составили 39 600 BTC (около $2,5 млрд) в этот день, сообщил в твите глава исследовательского отдела фирмы Хулио Морено. Последний сопоставимый показатель был зафиксирован 16 ноября 2022 года — 39 900 BTC, через несколько дней после краха FTX.

The Bitcoin plebs had not move this amount of BTC in a day since the FTX collapse.

39.6K BTC transferred on July 31st after the coldcard hack, 39.9K BTC transferred on November 16 2022, a few days after the FTX collapse.

These are Bitcoin transfers < 1 BTC.

I like to see that… pic.twitter.com/c7Qzx7za6M

— Julio Moreno (@jjcmoreno) August 2, 2026

Количество активных адресов в сутки выросло с 645 000 30 июля почти до миллиона 31 июля — максимальный показатель с декабря 2024 года, причём рост пришёлся в основном на отправляющие адреса, а не на получающие.

Всплеск депозитов на биржах

Часть перемещённых монет поступила на биржи. Депозиты, состоящие из переводов объёмом менее 10 BTC, достигли 7 300 BTC ($459 млн) 31 июля — максимального значения с 6 февраля, сообщили в CryptoQuant. Морено связал эту активность со взломом ColdCard, отметив, что люди, по-видимому, перемещали средства «в поисках безопасности», хотя и указал, что связь не является абсолютно достоверной.

Примечательно, что цена Bitcoin почти не изменилась на фоне волны биржевых депозитов, что говорит о том, что пользователи перемещали монеты для обеспечения их безопасности, а не для продажи. На данный момент Bitcoin торгуется на отметке $62 724, снизившись на 0,7% за последние сутки, согласно данным CoinGecko.

Эксплойт ColdCard

Уязвимость ColdCard связана с ошибкой в сборке прошивки от марта 2021 года, из-за которой сид-фразы генерировались из слишком ограниченного набора. Согласно стандарту BIP39, регулирующему фразы восстановления Bitcoin-кошельков, сид-фразы должны содержать минимум 128 бит энтропии — достаточно, чтобы сделать подбор методом прямого перебора вычислительно неосуществимым. Galaxy Research зафиксировала три волны краж к субботе: в общей сложности 1 367 BTC на 4 585 адресах — рост по сравнению с $38 млн на момент раскрытия уязвимости и $70 млн, когда основатель Binance Чанпэн Чжао предупредил держателей.

Четвёртая волна, вероятно, развивается в настоящий момент. Алекс Торн из Galaxy Research выявил серию переводов, охвативших 15 подряд идущих блоков в понедельник, со скоростью примерно в 45 раз выше обычной. После исправления набора данных, в который ошибочно были включены мультиподписные адреса, Торн оценил волну в 709 адресов и 448,73 BTC ($28 млн). Это довело бы общий итог примерно до 1 816 BTC, что составляет около $114 млн. Торн добавил оговорку, что ни одна жертва пока не подтвердила четвёртую волну, которая определена на основе сопоставления шаблонов.

🚨 LIKELY 4TH ORGANIZED WAVE COLDCARD ATTACK OCCURRING RIGHT NOW

THERE ARE STILL SIMILAR TXS IN THE MEMPOOL WAITING TO BE CONFIRMED AND THE PREVIOUSLY-CONFIRMED TXS SIGNAL RBF OPT-IN, CHECK YOUR FUNDS AND YOU MAY BE ABLE TO RBF YOUR WAY OUT OF THIS

pattern identified: blocks…

— Alex Thorn (@intangiblecoins) August 3, 2026

Некоторые переводы всё ещё находились в мемпуле в неподтверждённом состоянии с активированной опцией replace-by-fee (RBF) — функцией Bitcoin, позволяющей отправителю заменить неподтверждённую транзакцию на другую с более высокой комиссией. Это означает, что держатели, действующие оперативно и выплачивающие высокую комиссию, могут опередить атакующего. Ни один из адресов, пострадавших в первых трёх волнах, не был мультиподписным.

«Тревожный звонок»

Главный директор по информационной безопасности Kraken Ник Перкоко назвал инцидент «тревожным звонком для всей индустрии аппаратных кошельков». Модели ColdCard Mk4, Mk5 и Q поставляются с сертифицированными защищёнными элементами, отметил он, однако их сид-фразы всё равно содержали лишь около 72 бит энтропии — значительно ниже минимума BIP39 в 128 бит — поскольку сертификация распространялась на сам компонент, и никто не проверял, какой именно путь выполнения кода фактически использовался. Аппаратные кошельки широко считаются одним из самых надёжных вариантов самостоятельного хранения криптовалюты, что ставит проблему нехватки энтропии в центр более широких вопросов о том, как индустрия подтверждает заявления о безопасности подобных устройств.

— Nick Percoco (@c7five) August 2, 2026

Перкоко призвал к независимой лабораторной проверке источников энтропии, привязанной к конкретным версиям прошивки и размещённой в открытом реестре — по аналогии с требованиями, уже действующими для платёжных терминалов. Он добавил, что исправление от Coinkite теперь прерывает сборку, если не подключён корректный генератор, — мера, на разработку которой, по его словам, ушло около 48 часов с момента, когда компания поняла, что именно нужно искать. Пользователям, затронутым уязвимостью и обновившим прошивку, рекомендуется создать новый кошелёк со свежей сид-фразой и перевести все оставшиеся средства, прежде чем отказаться от скомпрометированных слов восстановления.