Джонатан Гудман хранил свои 18,25 BTC на Coldcard, который никогда не подключался к интернету, в сейфе. Между 21:36 и 21:43 29 июля были опустошены все его кошельки — примерно 1,6 миллиона канадских долларов исчезли за семь минут.
«Возможно, самое трудное в этом то, что я сделал всё правильно», — написал канадский предприниматель в сообщении на X, которое набрало 7,6 миллиона просмотров. «Я никогда не делился своей seed-фразой ни с кем. Мои устройства никогда не подключались к интернету. Всё хранилось в нескольких сейфах и ячейках хранения. Ни один из этих шагов не имел значения».
Аккаунт Гудмана — один из десятков, заполняющих X и сабреддит Bitcoin с тех пор, как Coldcard exploit стал известен 30 июля, и они разделяют одну общую формулу: жертвы следовали руководству по самостоятельному хранению. Они купили аппаратный кошелек у уважаемого производителя, сгенерировали seed-фразы оффлайн, нанесли резервные копии на сталь и никогда не вводили seed-фразу на подключенное устройство.
Ошибка в прошивке, сделавшая семена, сгенерированные Coldcard, предсказуемыми, сделала всё это бессмысленным — злоумышленники извлекли примерно 1 816 BTC, что составляет около 114 миллионов долларов США, более чем из 5 200 адресов в четырёх волнах скоординированных изъятий.
Гудман сказал, что узнал о хаке спустя несколько дней, находясь в своем коттедже, и проверил свои балансы, не ожидая ничего. «Сразу же я увидел строки красных транзакций — выводов — и понял», — написал он. Он подает заявление в полицию и отчет в Комиссию по ценным бумагам Онтарио, но не ожидает восстановления ничего.
Гонка против воров
Поскольку уязвимость позволяет злоумышленникам воспроизводить закрытые ключи, пострадавшие пользователи — это не просто жертвы прошлой кражи, а участники гонки в реальном времени, чтобы перевести монеты до того, как злоумышленники их достигнут. Некоторые проиграли эту гонку на несколько часов.
Тим Лэмб был в семейном отпуске, когда в пятницу стало известно о хакерской атаке. Его Coldcard Mk3 и плита с семенами были спрятаны дома. «Только в субботу вечером я придумал попросить соседа с ключом от дома найти для меня семена», — написал он в X. К воскресному утру, когда сосед нашел плиту, а Лэмб восстановил кошелек, на нем отображался ноль. 2 BTC были полностью изъяты в субботу днем.
Эти 2 bitcoin были предназначены для того, чтобы дать моим двум детям хорошее начало в жизни. От мысли об этом у меня наворачиваются слезы, — написал Лэмб, добавив: "@Coinkite, если бы существовала хоть какая-то справедливость, вы обязаны были бы вернуть нам наши деньги."
Псевдонимный биткоинер, выступающий под именем Marius Off Chain, сказал, что у его друга, не имевшего доступа к устройству, в воскресенье утром были похищены средства, которые были объединены с 890 другими входами в один адрес, содержащий 64 BTC.
Скандал вызвал мрачные советы от разработчика Bitcoin Core Люка Дашжира, который написал: «Это трагедия. Если вы не можете получить доступ к своему Coldcard, найдите кого-то, кто может. Даже если вы не доверяете им свои сбережения, в худшем случае вы хотя бы узнаете, кто это забрал!»
8 лет накоплений — исчезли
Истории на Reddit звучат искренне. «Субреддит о bitcoin сейчас просто ужасен. Так много людей разорено», — написал псевдонимный инвестор Zynx в посте, который просмотрели 3,6 миллиона раз.
В одном широко распространённом посте на r/Bitcoin под названием «8 лет накоплений — исчезли. Думаю, пора двигаться дальше» пользователь под ником DuckDuckMoss описал, как накопил 2 BTC, чтобы выйти из страны с инфлирующей валютой под санкциями. «Мне 39, и я надеялся к 50 годам иметь хороший финансовый запас. Но сегодня мои 2 BTC были списаны», — написал он. «Я считал себя в безопасности, потому что Cold Card всегда считался одним из лучших и самых безопасных кошельков». Пост завершается отказом: «Я закончил с Bitcoin. Я даже не уверен, верю ли я в него ещё. Может, мне следовало просто перевести всё в Bitcoin ETF, когда они появились».
Еще один пользователь, выступающий как Schtuff, сказал, что он копил с 2015 года и запечатлел свою фразу-семя на стальной пластине. «Мои сбережения были у меня отняты сегодня. Я не знаю, что делать, я потерян».
Побег из сценария
Для пользователей, которые хранили свои монеты, этот эпизод меняет способ их хранения — часто таким образом, который противоречит ортодоксальной практике самоконтроля. Пользователь, зарегистрированный как ACEIN, чей Coldcard Mk4 содержал сбережения на пенсию, описал, как находясь в командировке на конференции, скачал BlueWallet — мобильный горячий кошелек — импортировал 12-словную фразу-семя и отправил все средства на Coinbase после тестовой транзакции. Следующий шаг — выбор между мультиподписью, Block's Bitkey или продажей bitcoin за IBIT ETF от BlackRock. «Я все еще не определился».
Калле, псевдонимный разработчик протокола Cashu ecash, назвал эксплуатацию «хуже, чем любая предыдущая взломка биржи bitcoin», написав, что многие пострадавшие пользователи не узнают о инциденте вовремя, чтобы отреагировать. «Я искренне опечален всеми пострадавшими, особенно теми, кто, возможно, только что потерял свои сбережения. Самое худшее — они сделали всё правильно».
Мне жаль, и я в отчаянии
Компания Coinkite, производитель Coldcard, выпустила исправленную прошивку для всех моделей, приостановила отгрузки и уничтожила оставшиеся запасы, содержащие затронутую прошивку. «Мне очень жаль, я в шоке. Наша команда опечалена новостями вчерашнего дня», — написал генеральный директор Родольфо Новак, известный как NVK, в открытом письме, призывая всех, кто создавал seed на Coldcard, немедленно перевести средства.
Письмо не ответило на вопрос, висящий над постами, подобными посту Лэмба: будет ли Coinkite компенсировать пользователям их уже пропавшие монеты.