Щотижневий звіт KuCoin Ventures: Розбір уразливості апаратного кошелька Coldcard, ETF та інфраструктура стейблкоїнів приваблюють кошти на тлі охолодження макроекономіки

2026/08/11 11:17:00

1. Тижневі ринкові виділення

Великомасштабна вразливість Coldcard підірвала довіру до самоконтролю: безпека апаратних гаманців зміщується від «офлайн-ізоляції» до аудиту генерації ключів

На минулому тижні вразливість апаратного гаманця Coldcard продовжувала розгортатися, ставши одним із найбільш значущих інцидентів безпеки особистого самоконтролю за рік. Coldcard — це апаратний гаманець тільки для bitcoin, запущений у 2017 році канадською компанією з безпеки bitcoin Coinkite. Він здебільшого спрямований на досвідчених користувачів, які прагнуть до самоконтролю та безпеки, з фізичною ізоляцією для підпису, перевірюваним прошивкою та строгим офлайн-управлінням ключами як ключовими перевагами. У порівнянні з масовими брендами, такими як Ledger і Trezor, Coldcard не входить до числа найбільших постачальників апаратних гаманців за часткою ринку, і немає публічно перевірених даних про його продажі чи частку ринку. Однак він довгий час будував свою репутацію в середовищі bitcoin-користувачів навколо безпеки та відносно обмеженого поверхню атак. Вплив цієї вразливості, отже, поширюється далі за прямі фінансові втрати: спеціалізований апаратний гаманець, побудований навколо концепції «безпека перш за все», містив довго невиявлену помилку на найбільш фундаментальному етапі генерації ключів.

На відміну від хакінгу бірж, експлуатації смартконтрактів або витоків приватних ключів з боку користувачів, цей інцидент виник через недостатню випадковість під час генерації seed-фрази гаманця. Оновлення прошивки, випущене у березні 2021 року, призвело до помилки інтеграції, яка спричинила те, що деякі пристрої Coldcard не змогли отримати достатню випадковість від апаратного генератора випадкових чисел (RNG), як це передбачалося, а замість цього перейшли на передбачуваний програмний шлях генерації випадкових чисел. За даними Block Engineering, ефективна випадковість seed-фраз, згенерованих на деяких постраждалих пристроях, могла знизитися з очікуваного рівня приблизно 128 біт до лише близько 40 біт. Це дозволило нападникам комп’ютерно перебрати потенційні seed-фрази та зіставити їх із публічно видимими bitcoin-адресами, не маючи доступу до фізичного пристрою, резервної копії чи підключення гаманця до інтернету.

Уразливість залишалася прихованою більше п’яти років, перш ніж була використана в масштабі з 30 липня. Оцінки загальних втрат все ще відрізняються між компаніями з блокчейн-інтелекту. На 5 серпня TRM Labs зафіксувала приблизно 1 816 BTC, вкрадених з більш ніж 5 200 адрес, що становило близько $116 мільйонів на той момент. 7 серпня Galaxy Research підвищила свою оцінку загальних втрат до приблизно $130 мільйонів і висновила, що у кількох хвилях переказів коштів брали участь більше десяти незалежних нападників.

Ще важливіше, деякі постраждалі користувачі дотримувалися стандартної моделі офлайн-холодного зберігання, при якій пристрої ніколи не підключалися до інтернету. Зловмисники не обійшли фізичну ізоляцію гаманців; натомість, посіви гаманців, що керують активами, з моменту створення мали недостатню випадковість. Апаратні гаманці зазвичай зменшують ризик витоку приватних ключів у мережеві середовища завдяки фізичній ізоляції, Secure Elements та підписуванню в офлайн-режимі. Але всі ці захисти ґрунтуються на більш фундаментальному припущенні: випадковість, що використовується для генерації посіву гаманця, повинна бути достатньо непередбачуваною. Коли це припущення не виконується, навіть приватний ключ, який ніколи не залишає пристрій, не може бути захищений подальшою мережевою ізоляцією.

Джерело даних: Block Bitcoin Engineering

Після інциденту Coinkite, розробник Coldcard, опублікував попередження про безпеку та випустив оновлений прошивку. Однак оновлення прошивки може запобігти впливу цієї ж проблеми лише на новостворені ключові фрази гаманця; воно не може посилити слабкі ключові фрази, згенеровані раніше. Тому користувачам, які постраждали, все ще потрібно створити нові ключові фрази гаманця в оновленому середовищі та перемістити свої активи. Coinkite також зазначила, що користувачі, які додали достатню незалежну фізичну ентропію за допомогою кубиків під час генерації своїх ключових фраз або використовували сильний BIP-39 пароль, можуть мати значно нижчий ризик.

Інцидент із Coldcard також піднімає більш загальне питання: чи можуть великі виробники апаратних гаманців уникнути такого типу невдач? У порівнянні з Coldcard, лідери ринку, такі як Ledger і Trezor, мають більшу кількість користувачів і більші ресурси для розробки, але сама масштабність не може повністю виключити фундаментальні ризики безпеки. Сам Coldcard не є простим або низькокласним продуктом. Його архітектура, орієнтована виключно на bitcoin, відкритий код прошивки та підтримка фізично ізольованого функціонування — все це спрямовано на зменшення поверхні атаки. Однак вада генерації випадкових чисел залишалася у відкритому коді роками і привернула широку увагу лише після крадіжки реальних коштів. Це свідчить про те, що безпека апаратних гаманців не може оцінюватися лише за масштабом бренду, наявністю Secure Element чи тим, чи працює пристрій автономно. Вона також залежить від того, чи підлягає критичний код постійному незалежному аудиту, чи постійно перевіряються базові припущення щодо генерації випадкових чисел, генерації та поширення ентропії, залежностей прошивки та процесу збирання.

З ширшої галузевої перспективи, цей інцидент не спростовує модель самоконтролю, але перевизначає межі «безпеки самоконтролю». Галузь традиційно зосереджувалася на тому, чи користувачі контролюють власні приватні ключі. Coldcard ставить ще більш фундаментальне питання: «Чи був приватний ключ згенерований спочатку надійним способом?» Самоконтроль зменшує ризик контрагента, пов’язаний із біржами або сторонніми кастодіанами, але також переносить частину цього ризику на проектування апаратного забезпечення, код прошивки, генерацію ключів, процеси резервного копіювання та відновлення, а також на власні практики безпеки користувача.

Для фізичних осіб та інституцій, що тримають великі суми активів протягом тривалого періоду, залежність від одного пристрою, одного виробника або одного джерела випадковості може сама по собі створювати ризик концентрації. Тому важливість використання багатопідписових рішень, поєднання пристроїв від різних виробників та застосування незалежних джерел випадковості зростає. Зокрема для інституційного управління активами, оцінка безпеки рішень самоконтролю може потребувати розширення традиційного фокусу на збереженні приватних ключів офлайн і охоплення всього життєвого циклу ключа, включаючи генерацію посіву, підписання, резервне копіювання, відновлення та оновлення прошивки.

У майбутньому ринок повинен стежити за кінцевою кількістю пошкоджених адрес Coldcard, остаточними оцінками втрат, рухом вкрадених коштів, а також наявністю подібних ризиків, пов’язаних із генерацією випадкових чисел або залежністю від прошивки, в інших апаратних гаманцях. Основний урок інциденту з Coldcard полягає не в тому, що «холодні гаманці небезпечні», а в тому, що моделі безпеки апаратних гаманців не можуть обмежуватися лише тим, що «пристрій автономний і приватний ключ ніколи не залишає його». Оскільки кількість активів, зберіганих у особистій та інституційній самоконтролюваній власності, продовжує зростати, весь життєвий цикл ключа — від генерації посіву до підписання транзакцій, резервного копіювання та відновлення — повинен стати перевіреною межею безпеки.

2. Щотижневі обрані сигнали ринку

Помірне змякшення очікувань щодо підсилення: криптовалютні фонди концентруються в ETF та інфраструктурі стейблкоїнів

1) Зміни на традиційних ринках, важливі події та короткий аналіз

Основний фактор на ринку США знову змістився з корпоративних прибутків на макроекономічні дані. Незаплановано негативними виявилися дані про нерільову зайнятість за липень у США, а дані за попередні два місяці були переглянуті в бік зниження, що підтверджує думку про охолодження ринку праці. Однак рівень безробіття одночасно знизився, головним чином під впливом зменшення показника участі робочої сили. Тому поточний ринок праці ближчий до стану, де «активність найму значно охолоджується», ніж до рецесії, що характеризується масовими звільненнями.

Джерело даних: TradingView

З точки зору фінансових ринків, основна угода полягає у зменшенні тиску на подальше підвищення ставок. Суттєве охолодження ринку праці послабило імпульс Федрезерву щодо короткострокового підвищення ставок; короткострокові дохідності казначейських облігацій США впали, а індекс S&P 500 досяг нового рекорду.

Тим часом ціни на енергоносії залишаються невизначеністю на інфляційному фронті: до кінця тижня ціна на нафту сорту Brent відновилася приблизно до $84 за барель, а умови навігації в Ормузькій протоці ще не були повністю вирішені. Китай схиляється до використання капіталових ринків для надання фінансової підтримки технологічним та ІІ-індустріям.

У підсумковому документі засідання Банку Японії за липень зазначено, що ризики зростання інфляції збільшуються; члени комітету вказали, що якщо потенційна інфляція CPI продовжить наближатися до 2%, темпи підвищення політичних процентних ставок можуть бути швидшими, ніж очікує ринок.

Джерело даних: CME FedWatchTool

Цю точку чітко видно з останніх цін CME FedWatch. На 10 серпня ринок очікує на зустріч 16 вересня:

53,9% ймовірність збереження ставки на рівні 3,50%–3,75%;
46,1% ймовірність підвищення на 25 бп до 3,75%–4,00%;
Ймовірність зниження ставки залишається близько до 0.

Тому макроекономічне середовище цього тижня важко сприймати просто як «слабка зайнятість → монетарне розслаблення». Основна логіка ближча до такої: охолодження ринку праці зменшило терміновість продовження короткострокового підсилення, але ціни на енергоносії та ядерна інфляція все ще обмежують простір для зміни політики.

Покупки BTC ETF покращуються, але BTC залишається у коливаннях навколо $65 000

Джерело даних: SoSoValue

На момент публікації біткоїн знову наблизився до $65 000, але ще не сформував чіткого пробою тренду; ethereum відновився до приблизно $1 919. Останні дані відкритого ринку показують, що BTC продовжує коливатися в діапазоні $64 000–$65 000, тоді як ETH продемонстрував відносно сильнішу продуктивність.

Інституційний капітал — один із найчіткіших позитивних сигналів на крипторинку цього тижня. За тижневими даними станом на 7 серпня, за останній час спостерігається відносно помітний тижневий переплив капіталу. З кінця травня до кінця червня ринок пережив послідовні тижні масивних чистих виведень, де деякі тижневі виведення перевищували $1 мільярд. У липні виведення значно зменшилися, а перший тиждень серпня зафіксував чистий притік, що наближався до $900 мільйонів. Варто зауважити, що хоча розмір ETH ETF значно менший, ніж у BTC, він протягом кількох тижнів поспіль зберігав невеликий позитивний притік, що свідчить про значно покращену динаміку капіталу порівняно з травнем і червнем.

BTC отримав понад 850 мільйонів доларів США чистого притоку за один тиждень, але залишається у коливаннях близько 65 000 доларів США; ETH демонструє подібний патерн. Це свідчить про те, що покупний тиск ETF зараз діє переважно як поглинач існуючого продавчого тиску, і відмітна нерівновага між пропозицією та попитом ще не сформувалася.

Загальна ринкова капіталізація трохи знизилася, основні он-чейн USD-контракти синхронізовані

Джерело даних: DeFiLlama

Дані показують, що загальна ринкова капіталізація стейблкоїнів становить приблизно 300,61 млрд доларів США, зростаючи на 644,42 млн доларів США за останні 7 днів, що становить темп зростання близько 0,21%. USDT залишається абсолютно домінуючим, захоплюючи частку ринку 60,91%. Ринок стейблкоїнів не скоротився значно, але масштабне розширення ще не спостерігається. Кошти, виділені TradFi через ETF, значно покращилися, тоді як крипто-натуральна ліквідність у доларах США залишається майже незмінною; розбіжність між двома сегментами зберігається.

Важливі фінансові/макроекономічні події, за якими слід стежити наступного тижня

Наступного тижня фокус подій зосереджений у США:

12 серпня: інфляція США за липень. На тлі ослаблення даних щодо зайнятості ці дані про інфляцію можуть стати одним із ключових індикаторів, що визначать напрям політики ФРС у вересні.
13 серпня: США, PPI за липень.
14 серпня: Роздрібні продажі США за липень.
Продовжуйте стежити за навігаційною ситуацією в Ормузькій протоці та цінами на сирюю нафту Brent.
Продовжуйте стежити за переоцінкою балансу ризиків політики чиновниками ФРС після даних щодо зайнятості за липень.

Логіка полягає в тому, що FedWatch зараз перебуває майже у стані 50/50 «пауза/підвищення». Якщо CPI продовжить падіння, ослаблення зайнятості в липні та покращення інфляції можуть сформувати однобічний сигнал, що потенційно далі зменшить ймовірність підвищення ставки. Навпаки, якщо CPI відновить ріст, слабке зниження зайнятості може виявитися недостатнім, щоб зупинити ФРС від подальшого стиснення ліквідності.

Події первинного ринку криптовалют:

Джерело даних: CryptoRank

Останнім часом основна ринкова капіталізація продовжує концентруватися навколо двох ключових напрямків: «Підключення реального світу (RWA/Платежі)» та «Інфраструктура відповідності». Фінансування загальних чисто додатків або протоколів без підтримки грошових потоків стало значно складнішим. Капітал зосереджується на постачальниках корпоративних послуг, здатних справді знищити бар’єри між TradFi та DeFi, що мають потенціал масштабування та демонструють здатність генерувати дохід.

Дві найбільші публічні раунди фінансування цього тижня були високо корельовані з платіжними системами/стейблкоїнами: Yellow Card, найбільша криптовалютна біржа в Африці та відповідна фіатна платформа для купівлі/продажу, завершила стратегічний раунд фінансування на 40 мільйонів доларів США. Японський відповідний стейблкоїн JPYC завершив серію B2 на 38 мільйонів доларів США.

Це масштабне фінансування має велике значення як індикатор галузі. Інвестори включають традиційний капітал, підтриманий банками, такий як SC Ventures (Standard Chartered), галузевий капітал, наприклад Sony Innovation Fund, та криптофонди, такі як Polychain Capital і Blockchain Capital. Після цього раунду загальний обсяг еквіті-фінансування Yellow Card перевищив $120 мільйонів. Більш за все варто звернути увагу на структуру інвесторів: одночасне входження традиційного банківського капіталу, галузевого капіталу та крипто-VC свідчить про те, що інфраструктура стейблкоїнів поступово стає спільною ціллю як для традиційних фінансів, так і для крипто-капіталу.

На початку своєї історії Yellow Card у першу чергу вирішував проблему шлюзу для африканських користувачів, які купували та продавали bitcoin та цифрові активи, але за останні кілька років його бізнес-позиціонування значно змінилося. У 2025 році компанія офіційно припинила свій роздрібний додаток, щоб зосередитися на B2B та інституційній інфраструктурі стейблкоїнів. Цей раунд фінансування також буде використаний переважно для розширення глобального бізнесу акаунтів у доларах США та подальшого розширення на ринки Латинської Америки та Азійсько-Тихоокеанського регіону.

За допомогою рішень Yellow Card підприємства можуть зберігати долари США та стейблкоїни в одному акаунті, керувати скарбницею стейблкоїнів та надсилати/отримувати платежі через локальні платіжні мережі в понад 50 країнах. Компанія повідомила, що її мережа обробила понад $10 мільярдів обсягу транзакцій і встановила партнерські зв’язки з такими інституціями, як Visa, Mastercard, PayPal та Coinbase.

Ця бізнес-модель «Канал відповідності + реалізація оплати стейблкоїном» не лише має чіткі очікування прибутковості, але й ідеально відповідає поточним інвестиційним преференціям інституційного капіталу щодо масового впровадження у реальному світі, що представляє одну з ключових напрямків еволюції інфраструктури Web3 на наступному етапі.

Загалом, капітал залишається готовим підтримувати проекти з регуляторними шлюзами, потоками готівки від реальних активів або чіткими B2B клієнтами, але продовжує зберігати обережність щодо загальних протоколів та однорідних застосунків, які не підтверджують дохід.

Про KuCoin Ventures

KuCoin Ventures — це провідний інвестиційний напрямок біржі KuCoin, яка є провідною глобальною криптовалютною платформою, побудованою на довірі, і обслуговує понад 40 мільйонів користувачів у 200+ країнах і регіонах. Ставлячи за мету інвестувати у найбільш революційні криптовалютні та блокчейн-проекти ери Web 3.0, KuCoin Ventures підтримує розробників криптовалют та Web 3.0 як фінансово, так і стратегічно, надаючи глибокі інсайти та глобальні ресурси. Як інвестор, орієнтований на спільноту та дослідження, KuCoin Ventures тісно співпрацює з проектами портфелю на всьому життєвому циклі, зосереджуючись на інфраструктурі Web3.0, ШІ, користувацьких додатках, DeFi та PayFi.

Відмова від відповідальності: Ця загальна інформація про ринок, можливо, з третіх сторін, комерційних або спонсорованих джерел, не є юридичною, компліанс-фінансовою або інвестиційною порадою, пропозицією, запрошенням або гарантією. Ми не даємо жодних явних або прихованих заявлень чи гарантій щодо його точності, повноти чи надійності та не несемо відповідальності за будь-які виниклі втрати. Інвестування/торгівля супроводжуються ризиками; минулі результати не гарантує майбутніх. Користувачі повинні проводити дослідження, обережно оцінювати та брати повну відповідальність. У разі потреби проконсультуйтесь із професійними юридичними, податковими або фінансовими консультантами.

Відмова від відповідальності: Для вашої зручності цю сторінку було перекладено за допомогою технології ШІ. Для отримання найточнішої інформації дивіться оригінальну англійську версію.