Коли апаратна безпека зазнає невдачі, гроші рухаються. Це, здається, є уроком з великої вразливості, розкритої у старих апаратних гаманцях Coldcard наприкінці липня 2026 року, що спричинило хвилю капіталу, що потрапив у спот-біткоїн-ETF, включаючи $IBIT, $FBTC, $BITC, $ARKB та $MSBT, зі спільними щоденними надходженнями на суму $620 млн після порушення.
Що саме сталося з Coldcard
30 липня 2026 року Coinkite, канадська компанія, що розробляє апаратний гаманець Coldcard, розкрила вразливість прошивки, яка впливає на старші моделі, включаючи серію Mk3.
Уразливість не полягала в фізичному викраденні пристрою. Вона була тоншою і, певним чином, страшнішою. Уразливість зменшила ентропію, використану під час генерації seed-фрази, приблизно до 40 біт. Іншими словами: випадковість, закладена у створенні головного ключа гаманця, була значно слабшою, ніж мала бути, що робить математично можливим для атакуючого відновити приватні ключі з нуля.
Galaxy Research оцінила, що між 1 367 і 1 816 BTC було виведено з понад 5 200 адрес гаманців у дні після виявлення експлойту. За цінами, що діяли на момент порушення, це становить приблизно $89 мільйонів до $116 мільйонів втрат.
Крадіжки відбувалися швидко. Більшість збитків виникла між кінцем липня та початком серпня 2026 року, причому Galaxy Research визначила приблизно 1 367 BTC, виведених з 4 585 уражених адрес, на момент публікації перших підсумків. Генеральний директор Coinkite Родольфо Новак публічно відповів 31 липня, порадивши користувачам, чиї seed-фрази були створені на уражених пристроях, негайно переказати свої кошти.
Новіші моделі Coldcard зазнали меншого ступеня витоку. Зменшення ентропії було частковим, а не повним на більш новому обладнанні, що обмежило, але не повністю усунуло їхню вразливість порівняно зі старішими пристроями.
Ціна біткойна не звернула уваги. Потоки ETF — ні.
Реакція ціни bitcoin була помітно згладженою. Незважаючи на порушення, яке призвело до втрат десятків мільйонів доларів для тисяч власників гаманців, загальний ринок зареєстрував лише незначне падіння приблизно на 3%, після чого стабілізувався близько попередніх рівнів.
Більш цікавий сигнал походить від потоків ETF. Спот-біткоїн ETF зафіксували сукупний приплив у розмірі 620 мільйонів доларів США щодня після розкриття інформації про Coldcard, серед тікерів, включаючи iShares Bitcoin Trust, Fidelity Wise Origin Bitcoin Fund, ARK 21Shares Bitcoin ETF та інші. Щоденні припливи в межах цього періоду варіювалися від 91,84 мільйона доларів США на нижньому рівні до 170–244 мільйонів доларів США у сильні дні.
Дослідження зазначає, що повідомлення про пряму кореляцію між хаком і надходженням 620 мільйонів доларів США в біткоїн-ETF залишаються непідтвердженими, хоча часова відповідність свідчить про потенційний перехід до безпеки серед інвесторів, які усвідомлюють ризики, пов’язані з уразливостями апаратного забезпечення. Сума в 620 мільйонів доларів США охоплює кілька продуктів, що означає, що це не було аномалією одного фонду, спричиненою одним великим інституційним замовленням.
Що це означає для дебатів щодо самоконтролю
Недолік прошивки, що порушує генерацію ентропії, впливає не лише на тих, хто втратив кошти. Він вносить невпевненість серед ширшої групи користувачів апаратних гаманців, які не знають, чи була їхня seed-фраза згенерована з достатнім рівнем випадковості.
Для інвесторів, які зараз зберігають bitcoin у самостійному сховищі на старішому обладнанні, негайним практичним питанням є те, чи була їхня seed-фраза згенерована на пристрої або версії прошивки, що страждає від недоліку зменшеної ентропії.