Self-custody саласындағы ең ірі соққы: хакерлер Coldcard аппараттық әмияндарынан 1700 BTC-ден астам қаражатты шығарып алды
Coldcard аппараттық әмияндарының пайдаланушыларына қарсы жаппай науқан кемінде 1778,84 BTC мөлшерінде шығынға әкелді — бұл ағымдағы бағам бойынша шамамен $112,7 млн. Galaxy Research аналитикалық тобымен бірлесіп жүргізген тергеуім барысында 190 зардап шеккенге тиесілі 8600-ден астам адрестен қаражат ұрланғанын растау мүмкін болды. Сонымен қатар, нақты залал әлдеқайда жоғары болуы ықтимал: расталмаған эпизодтарды ескергенде, ұрланған көлем 2417,35 BTC-ке (~$153 млн) жетуі мүмкін.
Мәселенің түбірі: энтропия генерациясындағы қате
Шабуыл 2026 жылдың 30 шілдесінің таңынан кешіктірілмей басталды. Зұлымдық жасаушылар осал құрылғыларда генерацияланған сид-фразаларды жүйелі түрде қалпына келтіріп, содан кейін қаражатты өз бақылауындағы адрестерге шығарды. Себеп — Coinkite 2021 жылғы прошивка жаңартуында: баг салдарынан кездейсоқ сандар генераторы дұрыс жұмыс істемеді, ал құрылғылар жеке кілттерді қорғау үшін өте жеткіліксіз болып шыққан энтропия көзіне байқаусыз ауысты. Мәселе жылдар бойы болды, бірақ тек қазір ғана көрінді — жеткілікті есептеу қуатына ие бола отырып, хакерлер кілттерді қайта жаңғырта алды.
Шабуылдар тоқтады, бірақ биткоиндер көлеңкеге кетіп жатыр
Соңғы расталған бұзу тізбегі 6 тамызға тиесілі. Осы күннен кейін жаңа құрбандар аналитиктерге жүгінуді жалғастыруда, алайда осалдықты одан әрі пайдаланудың расталған жағдайлары анықталған жоқ. Шабуылдар не иелері қаражатты аударып үлгергендіктен, не қолжетімді активтер таусылғандықтан тоқтаған болуы мүмкін. Атап өту маңызды: бұл бір хакер туралы емес — мен кемінде 33 бөлек белсенділік ізін анықтадым, бұл осалдықты бірнеше топтардың бір мезгілде пайдаланғанын көрсетеді.
Расталған 1778 BTC-тің шамамен 1531 BTC-і әлі күнге дейін зұлымдық жасаушылардың адрестерінде тұр. Қалған ~246 BTC қазірдің өзінде жылжыған: 65% — бақылауды қиындататын CoinJoin-транзакцияларынан өтті, ал 35% — ірі сомалардан ұсақ микропереводтар бірнеше рет бөлінетін Peel Chain схемасы бойынша. Қаражаттың аз бөлігі орталықтандырылған биржалар мен кроссчейн-көпірлерде байқалды; мен адрестер тізімін комплаенс-бөлімдерге және құқық қорғау органдарына тапсырдым.
Self-custody нарративіне соққы
Оқиғаның ерекшелігі — құрбандардың профилінде. Бұл DeFi-протоколдарда тәуекел еткен жаңадан келгендер емес, активтерін қауіпсіздіктің алтын стандарты ретінде аппараттық әмияндарға сеніп тапсырған консервативті биткоин-энтузиастар. Салдары көп күттірмеді: шабуылдардың алғашқы төрт күнінде биржаларға 22 000 BTC-тен астам түсті, ал 8 тамызға қарай платформалардағы жиынтық баланс 3,683 млн BTC-пен тарихи максимумға жетті. Бұл ұстаушылар арасындағы айқын дүрбелән сигналы.
Мультиподпись және ЖИ жаңа тәуекел факторлары ретінде
Бірде-бір расталған ұрлықтың мультисиг-адрестерден жасалмағаны көрсеткішті. Casa және Anchorwatch сервистері клиенттердің күрт өсуін тіркеді, бірақ Unchained негізін қалаушы Дхрув Бансал дұрыс атап өткендей, кастодиалдық шешімдердің некастодиалдықтан жеңісі — жалған дилемма. Мәселе бірыңғай істен шығу нүктесінде: биржа, өндіруші немесе пайдаланушының өзі болсын. Оқиға сақтау тәсілін бірнеше кілттер арасында тәуекелді бөлу пайдасына қайта қарауға мәжбүрлейді.
Жекелей алаңдататыны — ЖИ-ді қолдану. Шабуылдаушылардың бір бөлігі, шамасы, киберқауіпсіздік бойынша шектеусіз қытайлық ашық LLM-дерді қолданған, ал Bitcoin Red Team зерттеушілері, керісінше, жетекші американдық модельдердің бұғаттауларына тап болды. Бұл алаңдатарлық теңгерімсіздік: осалдықтарды іздеу мүмкіндіктері қорғаушыларға қарағанда зұлымдық жасаушыларға қолжетімдірек болып барады.
Менің пікірім: Бұл оқиға — жай техникалық ақау емес, бүкіл индустрияға жүйелі сын-қатер. Егер бұрын біз өндірушілердің беделіне және шабуылдардың күрделілігіне сүйенсек, енді анық: тіпті «өтпейтін» құрылғыларда да жылдар бойы өз сағатын күтіп жатқан жасырын ақаулар болуы мүмкін. Нарыққа энтропия аудитінің стандарттары және прошивкаларды тәуелсіз зертханаларда міндетті тестілеу қажет, әйтпесе self-custody-ге деген сенім түпкілікті жойылады. 2026 жылдың бірінші жартысындағы бұзулардан рекордтық $1,1 млрд шығын аясында бұл шабуыл биткоин сақтау эволюциясындағы бетбұрыс сәтіне айналады.