Руководитель Galaxy Research Алекс Торн намекнул, что 3 августа Coldcard стал целью четвертой волны атак, и оценил, что злоумышленники переместили 448,7 BTC из 709 кошельков жертв.
Торн основал свои выводы на анализе блокчейна, а не на данных устройств, назвав адреса «вероятными жертвами Coldcard».
Четвертая волна?
Торн описал адреса, затронутые подозреваемой атакой, как «вероятных жертв Coldcard», добавив, что неизрасходованные выходы и транзакции соответствуют уязвимому шаблону кошелька. Первоначальный снимок Galaxy охватывал блоки с 960 778 по 960 792 и выявил 218 транзакций, связанных с 388,9 BTC и 462 потенциальными жертвами. Обновленная оценка увеличила эти цифры до сотен транзакций, связанных с 448,7 BTC и 709 потенциальными жертвами.
Thorn опубликовал результаты на X:
— Алекс Торн (@intangiblecoins) 3 августа 2026
ВОЗМОЖНО, СЕЙЧАС ПРОИСХОДИТ ЧЕТВЁРТАЯ ОРГАНИЗОВАННАЯ ВОЛНА АТАК НА COLDCARD
В мемпуле все еще есть похожие транзакции, ожидающие подтверждения, и ранее подтвержденные транзакции указывают на опцию RBF, проверьте свои средства — возможно, вы сможете выйти из этой ситуации с помощью RBF
паттерн обнаружен:
блоки…
ВОЗМОЖНО, СЕЙЧАС ПРОИСХОДИТ ЧЕТВЁРТАЯ ОРГАНИЗОВАННАЯ АТАКА COLDCARD, В МЕМПУЛЕ ЕЩЁ ЕСТЬ ПОХОЖИЕ ТРАНЗАКЦИИ, ОЖИДАЮЩИЕ ПОДТВЕРЖДЕНИЯ, А РАНЕЕ ПОДТВЁРЖДЁННЫЕ ТРАНЗАКЦИИ СОДЕРЖАТ ПРИЗНАК RBF OPT-IN, ПРОВЕРЬТЕ СВОИ СРЕДСТВА, И ВОЗМОЖНО, ВАМ УДАСТСЯ ВЫЙТИ ИЗ ЭТОЙ СИТУАЦИИ С ПОМОЩЬЮ RBF.
Согласно Торну, Galaxy показала 13,8 обходов на блок, что на 45 раз больше, чем 0,3 обхода на блок, зафиксированных в контрольный период до инцидента. Похищенные средства были отправлены на новый адрес, а не на общий кошелек. Часть похищенных средств была затем переведена на новые адреса, что затруднило их отслеживание.
Предыдущие волны
Galaxy уже сопоставила три предыдущих волны, которые перенаправили 1 367,05 BTC с 4 585 адресов, причем первая волна нацеливалась на 1 082,05 BTC на 1 196 адресах. Последняя волна увеличила общие цифры до 1 815,75 BTC на 5 294 адресах. Однако эти данные еще не подтверждены властями, Coinkite или владельцами кошельков. Кроме того, неясно, отвечало ли одно и то же лицо за все четыре волны.
Торн также добавил, что в мемпуле Bitcoin ожидали одобрения транзакции, что давало держателям возможность выйти из ситуации. Согласно Торну, документация Bitcoin Core утверждает, что неподтвержденные транзакции с опцией замены за плату могут быть заменены. Это означает, что пользователь, сохранивший контроль над затронутым ключом, может опубликовать конфликтующую транзакцию с более высокой комиссией и перевести средства на безопасный кошелек. Однако, как только транзакция попадает в блок, ее нельзя заменить, и замена не гарантирует успеха.
Пользователи Coldcard должны сгенерировать новые семена
Текущая проблема возникла из-за ошибки интеграции RNG, произошедшей во время обновления прошивки в марте 2021 года. Coinkite оценивает, что затронутые семена Mk2 и Mk3 имеют около 40 бит эффективной энтропии, в то время как семена, сгенерированные на затронутых версиях Mk4, Mk5 и Q, имеют 72 бита вместо 128.
Кроме того, инженерная команда Block обнаружила, что прошивка вызывала детерминированный резервный вариант MicroPython вместо аппаратного генератора случайных чисел. Однако команда Block уточнила, что не может подтвердить возможность эксплуатации без полного эмпирического тестирования.
В то же время Coinkite выпустила версию 4.2.0 для Mk2 и Mk3, 5.6.0 для Mk4 и Mk5, 1.5.0Q для Q, а также 6.6.0X или 6.6.0QX для выпусков Edge. Однако простое обновление существующей прошивки не устраняет уязвимость полностью. После обновления пользователям необходимо сгенерировать новый seed и проверить адрес получения. После проверки они должны отправить тестовую транзакцию перед миграцией полного баланса.
Coinkite также уточнила, что семена, созданные с использованием не менее 50 честных и приватных бросков костей, не считаются под угрозой, и что уникальный пароль BIP-39 может служить второй линией защиты. Однако компания рекомендовала пользователям завершить миграцию. Рекомендация не распространяется на TAPSIGNER, OPENDIME и SATSCARD, поскольку они используют отдельные кодовые базы.
Отказ от ответственности: данная статья предоставлена исключительно в информационных целях. Она не предлагается и не предназначена для использования в качестве юридических, налоговых, инвестиционных, финансовых или иных рекомендаций.
Эта статья была первоначально опубликована как Coldcard подвергся подозреваемой четвертой волне атаки по мере роста потерь на Crypto Breaking News — вашем надежном источнике новостей о криптовалюте, новостей о bitcoin и обновлений блокчейна.