Аппараттық әмияндардан жасалған ең ірі ұрлық: хакерлер осал Coldcard әмияндарынан 1700 BTC-ден астам қаражатты шығарып алды
Coldcard аппараттық әмияндарына жасалған ауқымды шабуыл криптоактивтерді өздігінен сақтау саласындағы ең ірі оқиғаға айналды. Менің деректерім бойынша, зиянкестер кемінде 1778,84 BTC ұрлап үлгерді, бұл $112,7 млн-ға тең. Сонымен қатар, шабуылдар толқыны тоқтаған сияқты: 6 тамыздан кейін осалдықты пайдаланудың жаңа расталған жағдайлары тіркелмеген.
Мәселенің түбірі — 2021 жылғы прошивкада
Тергеу барысында 190 зардап шеккенмен байланыс орнатылып, 8600-ден астам мекенжайдан қаражат ұрланғаны расталды. Алайда нақты залал айтарлықтай жоғары болуы мүмкін: расталмаған эпизодтарды ескерсек, ұрланған көлем 2417,35 BTC-ге (~$153 млн) жетеді.
Шабуыл 2026 жылдың 30 шілдесінде басталды. Зиянкестер осал құрылғылармен жасалған сид-фразаларды жүйелі түрде қалпына келтірді. Себеп — Coinkite компаниясының 2021 жылы прошивканы жаңарту кезінде жіберген қателігінде. Криптографиялық энтропия генерациялау механизмінің өзгеруі кездейсоқ сандар генераторының дұрыс жұмыс істемеуіне әкелді: құрылғылар жасырын түрде жеке кілттерді қорғауға мүлдем жеткіліксіз энтропия көзіне ауысып отырды. Мәселе жылдар бойы болды, бірақ тек қазір, есептеу қуаттарының өсуімен, пайдалануға мүмкін болды.
Шабуылдар тоқтады, бірақ биткоиндер қайтарылмады
Шабуылдардың тоқтауы, шамасы, иелерінің қаражатты шығарып үлгеруімен немесе қолжетімді активтердің сарқылуымен байланысты. Алайда бұл қауіптің өткенін білдірмейді: бір қолтаңбалы Coldcard пайдаланушыларына қаражатты дереу жаңа мекенжайларға аударуды қатты ұсынамын. Мәселе бір хакерде емес — кемінде 33 қосымша белсенділік ізі анықталды, бұл бірнеше топтың үйлестірілген әрекеттерін көрсетеді.
Расталған ұрланған қаражаттың шамамен 1531 BTC-і зиянкестердің мекенжайларында қалып отыр. Шамамен 246 BTC ауыстырылған, оның 65%-ы қадағалауды қиындататын CoinJoin-транзакцияларынан, ал 35%-ы ақша жуу үшін белсенді қолданылатын Peel Chain схемасы бойынша өткен. Кейбір монеталар орталықтандырылған биржалар мен кроссчейн-көпірлерде байқалды; мекенжайлар тізімдері комплаенс-бөлімдер мен құқық қорғау органдарына берілді.
Өздігінен сақтау нарративіне соққы
Оқиғаның ерекше қасіреті — құрбандардың дәл қауіпсіздікке барынша жауапкершілікпен қарағандар болуы: олар күмәнді платформалар мен DeFi-протоколдарды пайдаланбады, сенімділіктің эталоны саналған «темірге» сенді. Бұл self-custody идеясына ауыр соққы болды. Шабуылдар басталғаннан кейін биржаларға аударымдардың өсуі байқалды: алғашқы төрт күнде 22 000 BTC-ден астам түсті, ал 8 тамызға қарай платформалардағы жиынтық баланс 3,683 млн BTC-пен тарихи максимумға жетті.
Мультиқолтаңба — құтқару ретінде және ИИ-ден дабыл сигналы
Расталған ұрлықтардың ешқайсысы мультиқолтаңбалы мекенжайлардан жасалмағаны айғақты. Бұл мультисиг-шешімдерге деген қызығушылықтың күрт өсуіне себеп болды — Casa және Anchorwatch сервистері клиенттердің айтарлықтай ағынын хабарлады. Алайда, Unchained компаниясының негізін қалаушы Дхрув Бансал дұрыс атап өткендей, кастодиалды және кастодиалды емес шешімдерді қарама-қарсы қою екінші дәрежелі. Түбегейлі мәселе — биржа, құрылғы өндірушісі немесе пайдаланушының өзі болсын, бірыңғай істен шығу нүктесі. Тәуекелді бірнеше кілт арасында бөлу — жалғыз ақылға қонымды жол.
Бөлек алаңдататыны — шабуылдаушылардың ИИ-ді қолдануы: кейбір бұзушылар киберқауіпсіздік бойынша шектеусіз қытайлық ашық LLM-дерді қолданған болуы мүмкін. Бұл алаңдатарлық үрдісті көрсетеді: осалдықтарды іздеу құралдары тек қорғаушыларға ғана емес, зиянкестерге де қолжетімді бола бастады. 2026 жылдың бірінші жартыжылдығындағы взломдардан рекордтық $1,1 млрд шығын аясында бұл оқиға — тіпті ең «қауіпсіз» шешімдер де қайта қарауды қажет ететінін еске салатын қатаң ескерту.
Менің үкімім: Coldcard-оқиғасы — бұл жай техникалық ақау емес, бүкіл индустрияға жүйелі сын. Аппараттық әмияндарға деген сенім нығая түсті, оны тек кодтың ашықтығы мен мультиқолтаңбаны жаппай енгізу арқылы қалпына келтіруге болады. Инвесторлар бірыңғай «оқ өтпейтін» құрылғыға сенбей, өз сақтау стратегияларын қайта қарауы керек.