Апаратні гаманці вважаються золотим стандартом безпеки bitcoin. Уся ідея проста: тримайте свої ключі оффлайн, подалі від хакерів, подалі від бірж, подалі від усього, що може піти не так. Тож, коли вада прошивки підриває цю обітницю, спільнота зазвичай помічає це. Коли хтось відповідає, буквально пострілом у пристрій, це помічає усі.
Саме це й сталося, коли Адам, відомий на X як @denverbitcoin, оголосив про плани знищити свій ColdCard Q 2 серпня 2026 року, подавши цей акт як символічний жест на користь користувачів, пошкоджених через цю вразливість.
Що насправді зробив цей недолік
Коли ColdCard Q автоматично згенерував seed-фразу, він використовував джерело випадковості, обмежене 32 байтами ентропії, що робить seed-фразу теоретично легшою для підбору методом перебору, ніж користувачів вважали.
Практичний вплив залежав від того, чи додав користувач пароль, який іноді називають 25-м словом. Пароль — це додатковий рівень безпеки, що додається до стандартної 24-слівної seed-фрази. Користувачі, які мали пароль, були в основному захищені від цієї проблеми. Тим же, хто його не мав, залишилося підданим ризику.
Coinkite, компанія, що стоїть за лінійкою ColdCard, визнала проблему та випустила оновлену прошивку. Компанія також порадила постраждалим користувачам створити абсолютно нові seed-фрази та зазначила, що саме обладнання не є дефектним. Винним був лише алгоритм генерації seed у прошивці.
Чому Адам натиснув на курок
Формулювання Адама було відкрито про солідарність. Він описав цей акт як вшанування користувачів, яких ефективно ограбували через вразливість — це був вибір слів, що прямо покладає вину на невдачу прошивки, а не на помилку користувача.
Критика також поширюється на інфлюенсерів та освітників, які рекомендували пристрої ColdCard, не продемонструвавши, на думку критиків, достатньої перевірки припущень щодо безпеки чи не підтримавши достатньо активно використання паролів.
NVK, засновник Coinkite, зіткнувся з прямою критикою під час обговорень на X, хоча участь з боку основного криптовалютного медіа була обмеженою. Основна частина обговорень залишилася в межах біткоїн-орієнтованих секцій платформи.
Що це означає для ринку апаратних гаманців
ColdCard довгий час посідав спеціальне місце на ринку апаратних гаманців bitcoin як вибір прихильників максимального безпеки. Ця репутація зробила ваду ентропії особливо тривожною для його основної аудиторії.
Глибша ринкова імплікація стосується дефолтів. Уразливість прошивки, яка впливає лише на користувачів без парольних фраз, в одному варіанті — це проблема освіти користувачів. В іншому варіанті — це проблема дизайну продукту.
Тепер варто стежити за тим, чи достатньо оновленої прошивки та стратегії комунікації Coinkite, щоб зберегти свою репутацію серед безпекоорієнтованих власників bitcoin, які становили їхній основний клієнтський базис, чи цей інцидент прискорить перехід до конкуруючих пристроїв. Зруйнований ColdCard Q Адама тепер став постійною частиною візуального запису.