Алекс Торн, управляющий директор и глава общекорпоративных исследований Galaxy Digital, сообщил о том, что он описал как вероятную четвёртую организованную волну атак на пользователей кошельков Coldcard, начавшуюся приблизительно в 1:00 UTC 3 августа 2026 года — всего через несколько дней после анализа первой волны. Coldcard — аппаратный кошелёк только для Биткоина, выпускаемый компанией Coinkite, который широко используется сторонниками самостоятельного хранения средств благодаря модели подписания с воздушным зазором. Это делает повторяющиеся скоординированные выводы средств серьёзной проблемой для сегмента пользователей, полагающихся на специализированное оборудование для защиты ключей.

Анализ Торна на блокчейне охватил блоки Биткоина с 960 778 по 960 792, охватывая примерно два с половиной часа активности, которая всё ещё продолжалась на момент публикации. Кластер содержал 218 транзакций с участием 462 предполагаемых адресов жертв и 216 ранее неиспользуемых адресов назначения. В совокупности они переместили 388,92748828 BTC. На момент написания статьи курс Биткоина находился около 62 700 долларов, и общая сумма составляла приблизительно 24,4 млн долларов.

Эта цифра представляет собой предполагаемые переводы, а не подтверждённые безвозвратные потери. Некоторые транзакции всё ещё находились в мемпуле Биткоина, а отнесение к Coldcard основывалось на анализе Торна на блокчейне, а не на завершённом расследовании со стороны Coinkite или правоохранительных органов.

🚨 LIKELY 4TH ORGANIZED WAVE COLDCARD ATTACK OCCURRING RIGHT NOW

THERE ARE STILL SIMILAR TXS IN THE MEMPOOL WAITING TO BE CONFIRMED AND THE PREVIOUSLY-CONFIRMED TXS SIGNAL RBF OPT-IN, CHECK YOUR FUNDS AND YOU MAY BE ABLE TO RBF YOUR WAY OUT OF THIS

pattern identified: blocks…

— Alex Thorn (@intangiblecoins) August 3, 2026

Паттерн совпал с более ранним инцидентом Coldcard

Торн зафиксировал приблизительно 13,8 предполагаемых выводов средств на каждый блок Биткоина по сравнению с 0,3 на блок в контрольный период до инцидента — частота примерно в 45 раз выше обычной.

История входов также совпала с более ранней предполагаемой активностью, связанной с Coldcard. По словам Торна, ни один из входов транзакций не предшествовал границе прошивки, связанной с уязвимостью. В сфере безопасности аппаратных кошельков граница прошивки обычно обозначает момент, когда обновление программного обеспечения изменило порядок обработки устройством приватных ключей или подписания транзакций, что означает, что адреса, созданные или использованные только до этой границы, могут не иметь такого же уровня уязвимости.

Паттерн адресов назначения был аналогично согласован. Почти каждая транзакция отправляла средства на отдельный, вновь созданный адрес, и лишь один адрес назначения получил два вывода. Вместо немедленной консолидации Биткоина в едином кошельке-коллекторе, транзакции распределяли средства по сотням новых адресов, делая кластер менее заметным при поверхностном осмотре.

В совокупности резкое увеличение числа выводов, совпадающая история входов и повторное использование новых адресов назначения привели Торна к выводу, что эта активность представляет собой ещё одну волну атак на жертв Coldcard. Анализ не позволил установить, кто контролирует адреса получения или сколько именно пользователей пострадало.

Некоторые ожидающие транзакции ещё можно заменить

Общая сумма в 388,9 BTC включает транзакции, которые уже были подтверждены, а также те, что всё ещё ожидают в мемпуле — зоне ожидания, где действительные транзакции Биткоина находятся до тех пор, пока майнер не включит их в блок.

Неподтверждённая транзакция всё ещё может быть заменяемой, если она использует сигнал Replace-by-Fee, широко известный как RBF. Торн заявил, что подтверждённые транзакции в кластере подали сигнал RBF-opt-in до включения в блок, и аналогичные транзакции, всё ещё ожидающие подтверждения, могут использовать ту же настройку. RBF является стандартной функцией Bitcoin Core с 2016 года и активируется в момент создания транзакции, что означает, что не все неподтверждённые транзакции могут быть заменены.

Механизм RBF Биткоина позволяет заменить неподтверждённую транзакцию другой транзакцией, тратящей те же монеты с более высокой комиссией. Таким образом, пострадавший владелец, который всё ещё контролирует соответствующие приватные ключи, может перенаправить Биткоин на безопасный кошелёк, выпустив действительную замену с более высокой комиссией, чем у транзакции злоумышленника.

Однако восстановление не гарантировано. Замена должна соответствовать политикам транзакций Биткоина, злоумышленник также может повысить комиссию, а возможность прекращается, как только несанкционированная транзакция подтверждается.

Переводы на второй хоп закрывают окно RBF

Торн обнаружил, что часть Биткоина уже переместилась с первоначальных адресов назначения на кошельки второго хопа. Адрес первого хопа принимает первоначальный вывод средств; второй хоп происходит, когда Биткоин снова переводится на другой адрес.

Это перемещение указывает на то, что первоначальный вывод уже подтверждён, что исключает любую возможность его замены через RBF. Replace-by-Fee может конкурировать с транзакцией, всё ещё находящейся в мемпуле, но не может отменить транзакцию, уже записанную в блокчейне.

Биткоин остаётся отслеживаемым на блокчейне, хотя последующие переводы могут разделить его между дополнительными адресами, объединить с другими средствами или переместить в сторону бирж и других сервисов. Восстановление в таком случае может зависеть от выявления этих сервисов и получения сотрудничества от их операторов или правоохранительных органов.

Что делать пользователям Coldcard сейчас

Торн призвал пользователей действовать быстро: «ВЫВЕДИТЕ СВОИ СРЕДСТВА С УСТРОЙСТВ COLDCARD КАК МОЖНО СКОРЕЕ И ИСПОЛЬЗУЙТЕ ВЫСОКИЕ КОМИССИИ ЗА ТРАНЗАКЦИИ.»

Пользователям следует сначала проверить историю транзакций на предмет исходящих платежей, которые они не авторизовали. Если подозрительная транзакция остаётся неподтверждённой и помечена как заменяемая, владелец может ещё успеть выпустить транзакцию с более высокой комиссией, отправляющую тот же Биткоин на безопасный кошелёк. Любой, кто не знаком с этим процессом, должен срочно обратиться за помощью к доверенному специалисту по безопасности Биткоина, а не экспериментировать с затронутыми средствами.

Любой оставшийся Биткоин следует перевести в новый кошелёк, созданный с новыми учётными данными безопасности. Перевод средств на другой адрес, сгенерированный из того же потенциально скомпрометированного seed-фразы, не устранит основную угрозу.

Пользователи ни при каких обстоятельствах не должны передавать seed-фразу, приватный ключ, резервную копию кошелька или PIN-код кому-либо, кто предлагает помощь в восстановлении. Эти секреты не требуются для проверки публичной транзакции или определения того, остаётся ли она неподтверждённой.

Если несанкционированная транзакция уже подтверждена, пользователям следует сохранить идентификатор транзакции, записи кошелька и соответствующую информацию об устройстве для отслеживания, составления отчёта и любого последующего расследования.

Предупреждение о безопасности: Никогда не передавайте seed-фразу, приватный ключ, резервную копию кошелька или PIN-код кому-либо, кто предлагает помощь в восстановлении. Пользователи, столкнувшиеся с неподтверждённой несанкционированной транзакцией, должны срочно обратиться за помощью к доверенному специалисту по безопасности Биткоина.

Методология

В статье используется анализ блокчейна Алекса Торна от 3 августа 2026 года, охватывающий блоки Биткоина с 960 778 по 960 792. Оценка в долларах получена путём умножения 388,92748828 BTC на указанную цену Биткоина в 62 700 долларов. Отнесение к очередной волне отражает оценку Торна и не должно рассматриваться как окончательный вывод Coinkite, правоохранительных органов или независимого экспертного расследования.