Основатель Binance Чанпэн "CZ" Чжао призывает владельцев криптовалют не доверять аппаратным кошелькам безоговорочно после того, как эксплойт вывел десятки миллионов долларов в Bitcoin с устройств Coldcard.

Coldcard, выпускаемый Coinkite, — это широко используемый изолированный Bitcoin-аппаратный кошелек, популярный среди сторонников самостоятельного хранения, ориентированных на безопасность, благодаря его физической изоляции от устройств с подключением к интернету. Именно поэтому эксплойт особенно примечателен для пользователей, которые считали, что их ключи были сгенерированы в среде, защищенной от вмешательства.

В субботнем посте на X Чжао предупредил, что даже аппаратные кошельки могут содержать ошибки, а старые кошельки с длительной историей эксплуатации не застрахованы от рисков. "Nothing is 100%," — написал он.

Он рекомендовал держателям рассмотреть возможность распределения средств между несколькими кошельками, чтобы снизить риск, при этом признавая, что у такого подхода есть свои компромиссы и что ни одна схема не является полностью надежной. Чжао завершил сообщение своей привычной формулировкой: "Stay SAFU!"

Его комментарии последовали за выявлением критической уязвимости в аппаратных кошельках Coldcard. Как сообщал Decrypt, ошибка сборки привела к тому, что на затронутых устройствах seeds брались из программного резервного источника вместо аппаратного генератора случайных чисел устройства, из-за чего приватные ключи было гораздо легче угадать, чем предполагалось. Генератор случайных чисел является основой криптографической безопасности — если источник случайности предсказуем, соответствующие приватные ключи могут быть восстановлены любым, кто заметит закономерность.

Проблема восходит к прошивке, выпущенной в марте 2021 года. Обновление прошивки не исправляет seed, уже созданный на скомпрометированном устройстве.

We mapped the flow of funds for the Coldcard vulnerability based on the pattern identified by engineers at Block and shared by @clay_garrett

1,196 addresses drained in full for 1,082.65 BTC (~$70.2M) between 01:10:20 and 01:51:26 UTC on Jul 30 — a 41-minute window, blocks… pic.twitter.com/q785paZvMQ

— Galaxy Research (@glxyresearch) July 31, 2026

Масштаб кражи значительно вырос по сравнению с первоначальными оценками. Ранние сообщения указывали примерно на 594 BTC, или около $38 млн, выведенные примерно из 500 кошельков.

Согласно отчету Galaxy Research, которая сопоставила потоки средств на основе паттерна уязвимости, выявленного инженерами Jack Dorsey's Block и опубликованного @clay_garrett, теперь ущерб оценивается в 1 196 опустошенных адресов и примерно 1 082,65 BTC, или около $70,2 млн, за 41-минутное окно 30 июля. Это почти вдвое больше первоначальной оценки.

Galaxy отметила, что каждый вывод сопровождался одинаковой жестко заданной комиссией и не оставлял сдачи — признак, который компания сочла совместимым с автоматизированным инструментом, расходующим ключи, которые он уже контролировал, а не с действиями владельцев, перемещающих собственные средства. Среди пострадавших были как адреса native SegWit, так и более старые типы адресов, что указывает на многопутевое сканирование ключей.

Украденный Bitcoin был за считанные минуты консолидирован в несколько адресов и, по данным Galaxy, с тех пор не перемещался.

Coinkite выпустила экстренные hotfixes и призвала затронутых пользователей перейти на новые сгенерированные seeds. Инцидент подчеркивает более широкую проблему для индустрии аппаратных кошельков: даже устройства, продвигаемые на основе их физической безопасности, зависят от целостности прошивки, а одна ошибка сборки может подорвать доверие, формировавшееся годами.