На этой неделе есть два типа держателей bitcoin: те, кто проверяет цену каждое утро, и те, кто проверяет каждое утро, остались ли их монеты. Причина называется Coldcard — и это самый неудобный доказательство того, что самый уважаемый аппаратный кошелек не является автоматически самым безопасным.
С 31 июля 2026 года последовательные подсчеты показывают, что потери составили более 116 миллионов долларов в биткойнах, похищенных из более чем 5 200 адресов; некоторые оценки теперь достигают примерно 130 миллионов долларов. Жертвами стали не люди, кликнувшие на фишинговую ссылку. Это люди, которые сделали все правильно: оффлайн, холодное хранение, семя, выбитое на стали, никогда не фотографировавшееся.
Эта статья охватывает три аспекта: у какого производителя вы еще можете покупать с чистой совестью, почему репутация превосходит любые технические характеристики, и почему именно сейчас — совершенно неподходящий момент, чтобы приостановить ваши сбережения.
Что именно произошло с Coldcard — в одном абзаце
Coldcard, произведённый канадской компанией Coinkite, уже много лет является кошельком только для bitcoin для продвинутых пользователей. В прошивке версии 4.0.0, поставляемой с марта 2021 года, устройство обходило собственный аппаратный чип генерации случайности при создании seed-фразы и вместо него использовало предсказуемый программный аналог. В течение пяти лет. Любой, кто сгенерировал seed-фразу на устройстве в этот период, получил последовательность, которую можно повторно вычислить — замок, ключ от которого любой, знающий об этой уязвимости, может подобрать.
Остальное — вычисления. 31 июля примерно 594 BTC покинули около 500 кошельков в течение 25 минут. К 2 августа убытки достигли примерно 1367 BTC. Четвертая выборка 3 августа забрала еще 449 BTC. В зависимости от прошивки, установленной при создании семени, могут быть затронуты модели Mk2, Mk3, Mk4, Mk5 и Q.
Важен порядок событий: устройство не было взломано. Была взломана случайность, которая сгенерировала ваш ключ. Последующее обновление прошивки не может исправить уже существующий сид. Все затронутые пользователи должны сгенерировать новый сид и переместить все средства.
Мы подробно рассмотрели хронологию и технический анализ здесь: 594 BTC исчезли за 25 минут — объяснение уязвимости Coldcard и четвёртый сбор.
Настоящий урок: история успеха важнее технических характеристик
Каждый аппаратный кошелек на рынке рекламирует одни и те же слова — защищенный элемент, открытый исходный код, воздушный зазор, PIN-код, фраза-пароль. Эти функции сопоставимы, и почти каждый производитель их перечисляет. То, что нельзя напечатать в спецификации, — это то, как вел себя производитель в течение многих лет, когда что-то шло не так.
Это критерий, который имеет значение после этой недели. На этой основе рынок выглядит так:
Coinkite (Coldcard)
Отличная техническая репутация, только bitcoin, очень сильное сообщество. И ошибка генерации ключей, которая оставалась незамеченной в течение пяти лет — самый серьезный тип сбоя, поскольку его нельзя исправить ретроспективно. Компания ответила обновленной прошивкой и инструкциями по переводу средств на новые кошельки. Для новых покупателей разумной позицией на данный момент является ожидание завершения независимого анализа инцидента.
Ledger
Французский лидер рынка имеет самый длинный список инцидентов — с одним важным уточнением, которое почти всегда упускается из виду в аргументах: ни один из этих инцидентов никогда не нарушил целостность самого оборудования. Рекорд:
- Июль 2020 года: утечка данных электронной коммерции, раскрывшая более миллиона клиентских записей — до сих пор являющаяся сырьём для фишинговых писем и поддельных «заменяющих устройств».
- Май 2023 года: скандал с Ledger Recover. Возможность разделять семя на зашифрованные фрагменты противоречила обещанию, которое многие покупатели считали купленным.
- Декабрь 2023 года: эксплуатация Connect Kit. Вредоносный код был встроен в dapp через скомпрометированный npm-аккаунт бывшего сотрудника; примерно 484 000 долларов было похищено — у пользователей dapp, а не у владельцев кошельков.
- Январь 2026 года: данные клиентов снова, на этот раз через партнер по электронной коммерции Global-e.
Пользователь Ledger не подвергается риску потери средств из-за дефекта прошивки. Он подвергается риску попадания в очень тщательно спланированную фишинговую кампанию, поскольку его адрес доставки циркулирует с 2020 года.
Tangem
Обратный дизайн, и с сегодняшней точки зрения — самый интересный. Tangem использует карты, а не устройство с экраном и кабелем. Ключ генерируется внутри безопасного элемента, сертифицированного по Common Criteria EAL6+, и никогда не покидает карту. Нет батареи, нет обновления прошивки на устройстве, нет USB-порта — и, следовательно, значительно меньшая поверхность атаки. Резервная копия — это не бумажный лист, а набор из двух или трех парных карт.
История: независимые аудиты от Kudelski Security (2018), Riscure (2023) и Cure53 (2026), ни один из которых не выявил уязвимостей. Среди более чем миллиона отправленных карт не было известно ни одного системного компрометирования. Это не гарантия — но именно такая скучная, проверяемая история стоит больше, чем любая функция после недели, подобной этой.
Отказ от ответственности: CryptoTicker сотрудничает по партнёрским программам с некоторыми из указанных здесь провайдеров. Приведённая выше оценка основана исключительно на публично задокументированной истории инцидентов, а не на коммерческих отношениях. Когда наша позиция отличается от этих отношений — как в случае с Coldcard и Ledger — мы об этом сообщаем.
Полное сравнение с ценами, поддерживаемыми монетами и рейтингами — в нашем сравнении аппаратных кошельков.
Три правила, вытекающие из этой недели
Правило 1: Покупайте на основе истории, а не на основе спецификации
Перед заказом кошелька введите название производителя и добавьте слова «инцидент», «нарушение» или «уязвимость». Вам не нужно искать нулевые результаты — у каждого серьезного поставщика они есть. Важно, как прошла реакция: насколько быстро было раскрыто сообщение? Было ли оно полным? Был ли опубликован независимый аудит? Производитель, который открыто анализирует свои собственные ошибки, безопаснее, чем тот, чей опыт просто выглядит пустым.
Правило 2: Никогда не полагайтесь на один источник случайности
Пробел в Coldcard был пробелом в случайности. Если вы не хотите полностью полагаться на устройство для генерации энтропии, есть два надежных варианта: сгенерировать семя с помощью бросков костей (поддерживается несколькими устройствами) или настроить мультиподпись с использованием устройств от двух разных производителей. В мультиподписи 2 из 3, охватывающей два бренда, дефект прошивки, общий для всего производителя, перестает быть полной потерей и превращается в неудобство.
Правило 3: Активно проверяйте свои активы, а не надейтесь
Холодное хранение предлагает вам отвернуться на годы. Запланируйте встречу каждые три месяца: проверяйте балансы через проводник блоков (достаточно публичного адреса — никогда не вводите свой семя никуда), читайте журнал изменений прошивки производителя, проверяйте местоположение вашей резервной копии. Пятнадцать минут, четыре раза в год.
И теперь та часть, которую почти все неправильно понимают в такие недели
Биткоин торгуется около $64 100 5 августа 2026 года. Новостной фон мрачный: катастрофа с аппаратным кошельком, два бессрочных DEX-платформы опустошены в июле, первый американский спотовый ETF закрывает свои двери. Типичная реакция — приостановить план сбережений — «пока это не уляжется».
Это именно то действие, которое снижает вашу среднюю цену входа с течением лет. План сбережений — это не рыночный инструмент; это инструмент против собственного настроения. Его вся ценность создается именно в те месяцы, когда вы хотите его отключить. Любой, кто приостановил его в 2022 году, упустил самую дешевую часть цикла и возобновил его летом 2024 года по значительно более высоким ценам.
Наш выбор для плана сбережений: Coinbase — но не через кнопку плана сбережений
Coinbase — очевидный выбор для европейских инвесторов прямо сейчас. С июня 2026 года его европейский бизнес работает на основании лицензии MiCA, зарегистрированной в Люксембурге, объединив предыдущие национальные разрешения — включая немецкое — под одной крышей. С момента окончания последнего переходного периода MiCA 1 июля 2026 года это разница между биржей, которая остается, и биржей, которая покидает европейский рынок. Добавьте чистые SEPA-каналы, поддержку местных языков и экспорт налоговой отчетности, которую могут реально прочитать обычные инструменты.
И теперь то, что сами провайдеры предпочитают не подчеркивать: удобная кнопка регулярной покупки — самый дорогой способ покупки на Coinbase.
| Маршрут | Эффективная стоимость за покупку | Усилие |
|---|---|---|
| Регулярные покупки в приложении Coinbase | около 2,5 процента (комиссия и спред) | настройте один раз, работает автоматически |
| Оплата картой | ещё 3,49 процента | низкая — и излишне дорогая |
| Лимитный ордер через Coinbase Advanced | от 0,6 процента (мейкер) | две минуты в месяц |
При расходах в 200 евро в месяц это примерно 60 евро в год — для идентичного результата в вашем портфеле. Рабочий процесс, объединяющий оба действия: регулярный перевод SEPA на ваш аккаунт Coinbase, две минуты раз в месяц на размещение лимитного ордера в Coinbase Advanced, затем вывод на ваш собственный кошелек. Удобство плана сбережений заключается в регулярном ордере, а не в кнопке покупки.
Чтобы сравнить провайдеров по комиссиям, минимальному взносу, частоте исполнения и стоимости вывода, ознакомьтесь с нашим руководством по покупке bitcoin. А о том, какие биржи по-прежнему работают в рамках регулирования в Европе после MiCA: сравнение регулируемых криптовалютных бирж.
30-минутная реализация
- Установите экспозицию. Используете Coldcard с семенем, сгенерированным на устройстве после марта 2021 года? Тогда создайте новый кошелек на прошитом устройстве или на устройстве другого производителя и немедленно переместите все средства. Не ждите тестовую транзакцию — уязвимость уже известна, как и адреса.
- Выбирайте производителя по истории инцидентов и поведению при реагировании, а не по списку функций.
- Представьте резервную копию как комплект. Два местоположения, разные здания. Для карточных кошельков: вторая карта не должна храниться в одном ящике.
- Настройте план сбережений — постоянный заказ SEPA плюс ежемесячный лимитный ордер на сумму, которая не станет обременительной в течение шести месяцев.
- Добавьте ежеквартальное напоминание в календарь для проверки баланса и журналов изменений прошивки.
Заключение
Инцидент с Coldcard не доказал, что самоконтроль неправильный. Он доказал, что самоконтроль означает выбор производителя — и этот выбор должен основываться на документированной истории, а не на репутации сообщества. Сделайте два дела на этой неделе, и вы завершите её в более выгодной позиции, чем начали: измените или подтвердите поставщика хранения на основе его истории, и продолжайте реализовывать план сбережений, несмотря на заголовки. В этом порядке.
(На 5 августа 2026 года. Эта статья не является инвестиционной рекомендацией. Цены и модели комиссий могут изменяться — проверяйте текущие условия у поставщика перед каждой покупкой.)