Ең ірі аппараттық әмияндардан жасалған ұрлық: Coldcard-қа жасалған шабуыл пайдаланушыларға $112 млн-ға түсті
Coldcard аппараттық әмияндарын бұзу бойынша ауқымды науқан кемінде 1778,84 BTC мөлшеріндегі шығынға әкелді, бұл $112,7 млн-ға тең. Менің деректерді талдауым көрсеткендей, бұл индустрия тарихындағы өзін-өзі сақтау құрылғыларына жасалған ең ауыр шабуылдардың бірі.
Шабуыл механикасы: энтропия генерациясындағы қате
Зиянкестер 2026 жылдың 30 шілдесінен бастап осал құрылғылармен жасалған сид-фразаларды жүйелі түрде қалпына келтірді. Мәселенің түбірі — Coinkite 2021 жылғы прошивка жаңартуында, ол криптографиялық энтропия генерациялау механизмін өзгертті. Баг салдарынан кездейсоқ сандар генераторы дұрыс жұмыс істемеді, жеке кілттерді қорғауы өте жеткіліксіз энтропия көзіне байқаусыз ауысып отырды.
Әсіресе көрсеткіштісі — мәселе жылдар бойы болған, бірақ тек қазір байқалды — есептеу қуаттарының өсуімен зиянкестер жеке кілттерді қайта жаңғырта алды. Бұл бүкіл индустрия үшін алаңдатарлық сигнал: «темірдегі» осалдықтар жылдар бойы ұйықтап жатуы мүмкін.
Ауқымы мен салдары
Зерттеушілер 8600-ден астам мекенжайдан ұрлықты растап, 190 зардап шеккенмен байланысты. Нақты залал расталмаған эпизодтарды ескере отырып, 2417,35 BTC (~$153 млн) жетуі мүмкін. Шабуылдар 6 тамыздан кейін тоқтады, бірақ ұрланған қаражаттың шамамен 1531 BTC әлі де зиянкестердің бақылауында. Айта кетерлігі, ұрланған монеталардың 65% CoinJoin-транзакцияларынан өтті, ал 35% — Peel Chain схемалары арқылы, бұл қадағалауды айтарлықтай қиындатады.
Өзін-өзі сақтау нарративіне соққы
Бұл оқиға self-custody идеясына ауыр соққы береді. Құрбандар — тәжірибесіз пайдаланушылар емес, керісінше сақтауға барынша жауапкершілікпен қарағандар: күмәнді биржаларсыз, тәуекелді DeFi-протоколдарсыз және хайп құралдарсыз. Олар аппараттық әмияндарға қауіпсіздіктің алтын стандарты ретінде сенді. Нәтиже — жаппай кету: шабуылдардың алғашқы төрт күнінде биржаларға 22 000 BTC-ден астам түсті, ал орталықтандырылған платформалардағы жиынтық баланс 8 тамызда тарихи максимумға — 3,683 млн BTC-ге жетті.
Мультиподпись шешім ретінде және ИИ рөлі
Көрсеткіштісі — мультиподписьпен қорғалған мекенжайлардан бірде-бір расталған ұрлық жасалмаған. Casa және Anchorwatch сервистері клиенттердің күрт өсуін тіркеп жатыр. Алайда, Unchained негізін қалаушы Дхрув Бансал дұрыс атап өткендей, мәселе тереңірек — бұл бірыңғай істен шығу нүктесі, биржа, өндіруші немесе пайдаланушының өзі болсын. Жеке алаңдатарлық аспект — шабуылдаушылардың киберқауіпсіздік бойынша шектеусіз қытайлық ашық LLM-дерді қолдануы ықтимал, бұл ИИ дәуірінде қауіптер көкжиегін кеңейтеді.
Менің қорытындым: бұл оқиға — жай техникалық ақау емес, индустрияға жүйелі сын. Бір құрылғыға сену енді мүмкін емес, ал мультиподпись схемаларына көшу — тренд емес, қажеттілік. 2026 жылдың бірінші жартысында криптожобалар бұзулар салдарынан шамамен $1,1 млрд жоғалтты, және бұл жағдай тек растайды: қауіпсіздік барлық деңгейлерде тәуекелдерді әртараптандыруды талап етеді.