По новым данным Galaxy Research, потери от хищения средств с аппаратного кошелька Coldcard превысили 115 млн долларов в биткоине.

В воскресенье в публикации на X Galaxy Research сообщила, что поговорила более чем с 200 пострадавшими, чтобы поддержать их и собрать сведения об атакующих. Компания отметила, что данные о потерях рассчитаны исходя из цены биткоина на момент атаки.

Coldcard losses have exceeded $115M (based on the price when coins were stolen)

Galaxy Research has spoken with 200+ victims to support them and gather intelligence on the attackers

This thread contains additional charts and info pic.twitter.com/H2K141mugF

— Galaxy Research (@glxyresearch) August 16, 2026

Хакеры начали похищать биткоины, хранившиеся на популярном аппаратном кошельке Coldcard компании Coinkite, 31 июля. Канадская компания сообщила, что ошибка в прошивке устройств Coldcard Mk3 — появившаяся в версии 4.0.1 в марте 2021 года — приводила к тому, что генерация seed переключалась на слабый программный генератор псевдослучайных чисел вместо аппаратного истинного генератора случайных чисел, что позволяло злоумышленникам фактически угадывать seed-фразы инвесторов — восстановительные слова, контролирующие доступ к биткоин-кошельку. Надёжная случайность — основа безопасности аппаратных кошельков: устройства вроде Coldcard созданы для генерации и хранения приватных ключей в офлайн-режиме, поэтому предсказуемый seed обесценивает защищённую генерацию ключей, лежащую в основе устройства. Сбои генераторов случайных чисел ранее уже затрагивали держателей биткоина: в 2013 году уязвимость генератора случайных чисел в Android делала ключи в некоторых Android-приложениях-кошельках предсказуемыми, что побудило предупредить пользователей о необходимости перевести монеты.

Общая сумма потерь неуклонно росла по мере того, как преступники атаковали более новые устройства, а Coinkite и другие участники биткоин-сообщества призывали пользователей Coldcard немедленно перевести свои средства.

На прошлой неделе Galaxy Research оценила, что эту ошибку независимо использовали не менее 15 отдельных злоумышленников. Более раннее исследование компании показало, что типичная украденная монета оставалась нетронутой 3,5 года, а внушительные 88% похищенных средств пролежали не менее года — напоминание о том, что слабо сгенерированный seed не теряет риск со временем: он остаётся угадываемым, пока средства хранятся на нём. Galaxy Research всё ещё уточняет масштаб хищений и сообщила, что общие потери могут превысить 130 млн долларов.

После атаки осторожные инвесторы переводят свои монеты в другие решения для хранения, включая биржи, — заметный сдвиг для держателей устройства, главная цель которого — самостоятельное хранение (self-custody): контроль биткоина самим пользователем, а не третьей стороной.

В заявлении на этой неделе Coinkite сообщила, что ошибка в её программном обеспечении «незаметно оставалась вне поля зрения», а «её потенциальное воздействие росло с каждым выпуском» продуктов. Через несколько дней после первого взлома компания призвала инвесторов обновить программное обеспечение или перевести средства с популярного аппаратного кошелька.

Эта статья впервые была опубликована в Bitcoin Magazine, автор — Mathew Di Salvo. Источник: Bitcoin Magazine