Вкрадені кошти, пов’язані з експлуатацією апаратного гаманця Coldcard, демонструють ранні ознаки відмивання, але дослідники безпеки блокчейну стверджують, що більшість потенційних копій не пересунули ще великих сум криптовалют жертв. За даними CertiK, приблизно 64 Bitcoin (вартістю близько $4,17 мільйона) і 200 Ether (вартістю близько $380 000), пов’язані з атакою, були спрямовані до відомих сервісів змішування — Wasabi для BTC і Tornado Cash для ETH.
Інцидент із Coldcard швидко став одним із найбільших крипто-хаків цього року. Galaxy Digital раніше оцінила підтверджені втрати щонайменше в $100 мільйонів у Bitcoin у трьох хвилях, а також вказала на можливу четверту хвилю, яка може підвищити загальні втрати до близько $130 мільйонів.
Основні висновки
- CertiK повідомляє, що приблизно 64 BTC, пов’язані з експлуатацією Coldcard, були відправлені до Wasabi, а 200 ETH були переведені до Tornado Cash.
- Сервіси змішування зазвичай об’єднують кошти й приховують ланцюжки на ланцюзі, зменшуючи шанси на відновлення для жертв.
- Відстеження TRM Labs свідчить, що більшість балансів жертв залишаються зосередженими в невеликому наборі адрес, що контролюються нападниками, з обмеженою активністю змішування.
- Аналіз шаблонів транзакцій у хвилях атак вказує на те, що експлойт може включати більше одного учасника.
Сервіси змішування входять до картини прання через Coldcard
Моніторинг блокчейну CertiK пов’язав конкретну активність переказів із експлуатацією Coldcard і відстежив частину потоку до інструментів конфіденційності та приховування. У своїх звітах CertiK зазначив, що переказ bitcoin — з адреси bc1q0 — був надісланий до протоколу Wasabi у вівторок, використовуючи дані адрес, надані Cointelegraph.
З боку Ethereum CertiK зазначила, що 200 ETH було відправлено до Tornado Cash у середу, посилаючись на X post зі свого акаунту як основу для цього спостереження.
Криптовалютні змішувачі, такі як Tornado Cash, працюють шляхом об’єднання депозитів від кількох користувачів, а потім виведення коштів таким чином, що порушує прямий ланцюг відстеження в мережі від початкового відправника до кінцевого отримувача. Саме ця функція робить відстеження складнішим, а відновлення активів менш ймовірним — особливо коли нападники діють швидко і розподіляють кошти між кількома адресами та сервісами.
Чому це має значення: відмивання імпульсу проти поведінки копіювання
Представник CertiK сказав Cointelegraph, що ця діяльність може бути пов’язана з меншим експлуататором, додавши, що «ймовірно, є кілька копіювальників після початкового використання вразливості». Це означає просто: якщо додаткові сторони використали ту саму вразливість, їхні onchain рухи можуть допомогти чи завадити слідчим, залежно від того, чи здійснять вони масштабне відмивання коштів.
Саме тут висновки TRM Labs набувають важливого значення. У звіті від четверга під назвою «Найбільший експлойт апаратного гаманця 2026 року: всередині хакінгу Coldcard на $116 мільйонів», TRM Labs зазначила, що її аналіз ланцюга блоків свідчить, що більшість коштів жертв все ще зберігалися на обмеженій кількості адрес, що контролюються зловмисниками, а спроби змішування виглядали обмеженими.
TRM Labs також зазначила, що «відмінності у побудові транзакцій» між кожною хвиллю свідчать про наявність кількох нападників. Іншими словами, навіть якщо базова вразливість була спільною, операційний сценарій може не бути ідентичним — ця асиметрія може бути корисною для слідчих, які намагаються розділити ідентичності учасників, джерела фінансування та шляхи відмивання коштів.
Шкала хакерських атак на Coldcard і шаблон «хвилі»
Galaxy Digital раніше класифікувала експлойт Coldcard як третю за розміром криптовалютну атаку 2026 року на даний момент, згідно з підтвердженою активністю. У своїй оцінці Galaxy вказала, що втрати склали щонайменше 100 мільйонів доларів США в bitcoin у трьох підтверджених хвилях атак, що задіяли 7 300 жертвових гаманців. Galaxy також зазначила підозрювану четверту хвилю, яка може підняти загальні втрати приблизно до 130 мільйонів доларів США в BTC, згідно з ранішою публікацією Cointelegraph.
Ці хвильові висновки мають значення для того, як аналітики інтерпретують відмивання. Якщо нападники не розподіляють кошти агресивно — або якщо лише частина вкрадених активів була переміщена в міксери — тоді часовий вимір стає критичним: слідчі можуть все ще чекати на більш широке продовження, поки додаткові учасники або додаткові партії вкрадених коштів не почнуть рухатися.
Раніший аналіз Galaxy, який також цитувався Cointelegraph, вказував, що принаймні 15 різних нападників використали цю вразливість. Це підтверджує точку зору TRM Labs щодо відмінностей у побудові транзакцій між хвилями, що підсилює ідею про те, що те, що може виглядати як один інцидент, насправді може бути координованою (або принаймні паралельною) операцією з різними учасниками.
Технічна слабкість, що лежить в основі експлойту
Звіт TRM Labs приписав частину вразливості багу в прошивці з березня 2021 року, який зменшив випадковість початкового ключа на деяких гаманцях Coldcard. За даними TRM Labs, цей баг ефективно знизив міцність ключа з 128 до 40 бітів, що зробило його «піддаючимся перебору без фізичного доступу».
Інші коментарі щодо виправлення підкреслюють низьку вартість кращої безпеки. Управляючий партнер Dragonfly Хасіб Квереші написав, що приблизно «$2 на підсилення штучного інтелекту» могли б запобігти експлуатації Coldcard, посилаючись на повідомлення в соціальних мережах, що деякі моделі ШІ швидко відновили цю вразливість — хоча ці твердження подано як коментарі, а не як офіційні технічні висновки.
Для інвесторів і розробників основний висновок полягає не у будь-якій конкретній ціні, а у швидкості, з якою слабкі місця можуть бути використані після поширення публічної інформації. Коли вразливість може бути використана на відстані і в масштабі, реагування на інциденти повинно враховувати як безпосередніх нападників, так і довготривалих копіювальників.
У майбутньому читачам слід стежити за тим, чи не почнуть додаткові адреси, що контролюються нападником, пересилати більші частини вкрадених балансів до сервісів змішування, і чи розвинеться «підозрювана» четверта хвиля, підтверджена Galaxy. Коли більше коштів рухатиметься — або не рухатиметься — ончейн, слідчі отримають чіткіші сигнали про те, скільки учасників задіяно і наскільки успішно вони здатні порушити слідопитність.
Ця стаття була спочатку опублікована як Coldcard Hackers Send 64 BTC and 200 ETH to Crypto Mixers на Crypto Breaking News – вашій надійній джерелі новин про криптовалюти, новин про bitcoin та оновлень блокчейну.