Инциденты с аппаратными кошельками редко происходят как единичные события. Когда давно неактивные адреса начинают действовать по тщательно скоординированному сценарию, уже одно только время происшествия требует тщательного расследования. Именно это и произошло 30 июля 2026 года, когда, как предполагается, 594 $BTC на сумму около 38 миллионов долларов были переведены с примерно 500 адресов с одной подписью в течение примерно 25 минут.
Многие из этих кошельков оставались неактивными в течение многих лет, а их остатки обычно колебались от 0,15 до 0,26 $BTC. На момент написания статьи, несмотря на широкие дискуссии в сети, компания не подтвердила, имеет ли перевод почти 600 $BTC прямое отношение к рекомендациям по безопасности Coldcard.
Что говорит Coinkite
Генеральный директор Coinkite Родольфо Новак, известный в отрасли как NVK, заявил, что компания уделяет этим сообщениям первостепенное внимание. «Мы все работаем в полную силу, тщательно изучая все детали; технический пост появится в ближайшее время», — написал Новак в X. Он добавил, что после появления этих сообщений каналы связи компании были «завалены» запросами. В отдельном сообщении Новак подчеркнул: «Мы провели тщательное расследование в связи с сообщениями о COLDCARD, скоро появится пост в блоге».
В публикации в блоге с рекомендациями по безопасности компания указала конкретный диапазон уязвимых устройств. Проблема может затронуть всех, кто генерировал сед на Mk3 с версией прошивки от 4.0.1, выпущенной в марте 2021 года, до версии 5.0.3 — последней версии, поддерживающей Mk3. Coinkite пояснила, что, согласно предварительным результатам анализа, модели Mk4, Q и Mk5 не затронуты.
Coinkite отметила, что данное предупреждение отражает предварительные выводы, и сообщила, что по мере продолжения расследования будет проведена официальная техническая экспертиза. Исследователи из сообщества изучают активность в цепочке блоков, связанную с этими сообщениями. Обсуждение сосредоточено на возможности слабой случайности при генерации семенных фраз в некоторых старых версиях прошивки Mk2 и Mk3, а не на компрометации цепочки поставок. На момент публикации Coinkite не подтвердила первопричину.
Пользователи парольных фраз подвержены меньшему риску
Согласно предупреждению, кошельки, защищённые парольной фразой BIP-39 (фразу, добавленную пользователем и отличающуюся от PIN-кода устройства), по результатам предварительного анализа Coinkite, по-видимому, подвержены минимальному риску. Компания рекомендовала пользователям, использующим парольную фразу, продолжать защищать эту фразу и избегать её ввода на ненадежных устройствах или веб-сайтах.
Владельцам Mk3, не использовавшим парольную фразу, Coinkite рекомендовала перейти на новый сед, сгенерированный на незатронутом инцидентом устройстве. Компания отметила, что не следует торопиться с этим процессом. Она посоветовала сначала отправить небольшую тестовую транзакцию, проверить новый кошелек и адрес получения на экране устройства, а также сохранить старую резервную копию до тех пор, пока переход не будет подтвержден.
Временные меры
Coinkite предложила два временных шага для владельцев, у которых Mk3 является единственным устройством:
- Установить надежный уникальный пароль по стандарту BIP-39 и перевести средства в новый защищенный кошелек.
- Сгенерировать запасной сед с помощью пути импорта «бросок кубика» на Mk3, который не зависит от генератора случайных чисел устройства, хотя Coinkite охарактеризовала эту процедуру как сложную, требующую тщательной проверки.
Coinkite опубликовала полную инструкцию с техническими шагами в своём рекомендательном сообщении, доступном в блоге компании. Компания пояснила, что расследование продолжается и что дополнительные подробности будут опубликованы позже. С момента выпуска Coldcard завоевал репутацию аппаратного кошелька с воздушным разрывом, ориентированного на безопасность, и эти сообщения привлекли широкое внимание всего биткойн-сообщества, поскольку владельцы проверяют свои собственные устройства.