Хакеры Coldcard оставили 87% украденного Bitcoin без движения после кражи на $114 млн

Более 87% Bitcoin, относящихся к хакерской атаке на Coldcard, остались без движения, оставив 1,561 BTC под контролем злоумышленников после того, как исследователи связали взлом с убытками в размере $114,7 миллиона.

Резюме

• Galaxy Research проследила 1,789 BTC, украденных из 8,865 адресов, к хакерской атаке на Coldcard.
• Около 1,561 BTC, или 87,3% от заявленных убытков, остается без движения.
• Некоторые Bitcoin из более поздних атак перемещались через транзакции CoinJoin и цепочки peel.
• Galaxy поделилась идентифицированными адресами злоумышленников с биржами, компаниями по соблюдению норм и правоохранительными органами.

Galaxy Research проследила 1,789.28 BTC, украденных из 8,865 адресов, к взлому Coldcard, согласно посту в X от Алекса Торна, главы исследований компании. Bitcoin стоил $114,7 миллиона на момент кражи, в то время как Торн оценил его текущую стоимость примерно в $138,8 миллиона.

📊 обновленные данные о взломе coldcard

8865 адресов потеряли 1789.28 BTC на сумму $114.7 млн на момент кражи ($138.8 млн сегодня)

-- убыток по адресам
медиана 0.00152
среднее 0.20184
медиана бездействия 3.2 года
среднее бездействие 3.6 года

-- убыток по отчетам жертв (221)
медиана 1.04272
среднее 3.57792
бездействие... pic.twitter.com/d2R29dYyco
--- Алекс Торн (@intangiblecoins) 24 августа 2026 года

Из общего числа 1,561 BTC, или 87,3%, не были потрачены и остаются на адресах сбора или хранения, контролируемых злоумышленниками. Все Bitcoin, связанные с первыми тремя идентифицированными волнами атак, также остались без движения, предоставляя исследователям запись в блокчейне о том, где хранится большая часть украденных средств.

Некоторые средства из более поздних атак начали перемещаться. Торн сообщил, что злоумышленники использовали транзакции CoinJoin, цепочки peel и другие методы, предназначенные для усложнения отслеживания движения Bitcoin между адресами.

Большинство Bitcoin из хакерской атаки на Coldcard остается отслеживаемым

Последние данные Galaxy включают как анализ на уровне адресов, так и информацию, предоставленную непосредственно жертвами, поскольку исследователи продолжают картировать кошельки, связанные с взломом.

Среди 8,865 адресов, идентифицированных компанией, медианный убыток составил 0.00152 BTC, а средний - 0.20184 BTC, согласно данным, предоставленным Торном. Затронутые Bitcoin также оставались бездействующими в течение длительных периодов времени до кражи, с медианой бездействия адресов в 3.2 года и средней в 3.6 года.

Отчеты жертв показывают более серьезные убытки на индивидуальной основе. Galaxy получила 221 отчет, охватывающий 790.72 BTC, что эквивалентно 44.2% от общего количества Bitcoin, относящихся к взлому. Медианный заявленный убыток составил 1.04272 BTC, а средний - 3.57792 BTC.

Торн отдельно уточнил, что медиана означает, что как минимум половина из 221 жертвы, подавших отчет, потеряла 1 BTC или более. Bitcoin, охваченные этими отчетами, оставались бездействующими в среднем 3.25 года до кражи, в то время как средний период бездействия составил 2.99 года.
Вы также можете быть заинтересованы: Кража Coldcard: ФБР может знать о 1,082 BTC злоумышленника

Подтвержденный итог может не учитывать все убытки, связанные с инцидентом. Торн сообщил, что включение адресов средней уверенности, которые еще не подтверждены, увеличит оценку до примерно 1,824 BTC, что на момент соответствующих краж стоило около $140 миллионов.

Ранее оценки изменялись по мере того, как исследователи идентифицировали дополнительные адреса жертв и схемы атак. TRM Labs заявила 5 августа, что инцидент включал несколько волн, начавшихся 30 июля, и проследила кражи до проблемы с прошивкой, которая ослабила случайность, используемую при генерации некоторых семян кошельков Coldcard.

Согласно TRM Labs, ошибка конфигурации сборки, введенная через прошивку в марте 2021 года, привела к тому, что затронутые устройства начали использовать более слабый генератор случайных чисел программного обеспечения вместо того, чтобы полностью полагаться на аппаратную энтропию. Безопасная компания сообщила, что в результате сила ключа могла упасть до такой степени, что частные ключи могли быть восстановлены с помощью брутфорс-вычислений без физического доступа к кошельку.

Атакующие начали скрывать некоторые поздние кражи

Хотя крупнейшие активы остаются на месте, Galaxy обнаружила различия в поведении транзакций среди средств, похищенных во время поздних атак.

CoinJoin может объединять транзакции от нескольких участников, чтобы усложнить связь отдельных входов с их конечными выходами. Peel chains включают многократное перемещение меньших сумм с более крупного баланса на новые адреса, создавая более длинные следы транзакций для следователей.

Galaxy продолжила отслеживать эти движения, делясь идентифицированными адресами атакующих с криптовалютными биржами, компаниями по соблюдению норм и правоохранительными органами. Торн заявил, что это усилие может позволить централизованным платформам идентифицировать и потенциально заморозить украденный Bitcoin, если атакующие в конечном итоге отправят средства в сервисы, где счета или транзакции могут быть перехвачены.

Отсутствие движения в первых трех волнах особенно важно для усилий по отслеживанию, поскольку соответствующий Bitcoin еще не прошел через техники сокрытия, наблюдаемые в более поздней активности. Исследователи могут продолжать мониторить известные адреса на предмет исходящих транзакций.

Ранее в августе TRM Labs также сообщила, что большинство украденных средств сосредоточено в ограниченном количестве адресов, контролируемых атакующими, с небольшим движением в это время. Различия в структурах транзакций между волнами атак привели компанию к выводу, что могли быть вовлечены несколько атакующих, хотя она не приписала взлом конкретному актеру.

Безопасность Coldcard сосредоточилась на оффлайн-хранении ключей

Инцидент привлек внимание к бренду аппаратных кошельков, созданному специально для самоуправления Bitcoin.

В мае crypto.news ранее сообщила, что Coinkite выпустила Coldcard MK5, свою первую аппаратную ревизию флагманской линии MK с тех пор, как MK4 появился в 2022 году. Устройство сохранило двухсекционный дизайн с использованием компонентов от двух производителей чипов и продолжило поддерживать рабочие процессы транзакций с воздушным зазором.

MK5 также представил больший дисплей из Gorilla Glass, переработанные физические кнопки и улучшенную функциональность NFC. Coinkite тогда заявила, что устройство продолжает использовать прошивку с открытым исходным кодом, сохраняя свой дизайн только для Bitcoin.

Безопасность кошельков уже привлекала повышенное внимание до появления потерь Coldcard. В июле Coinspect раскрыл уязвимость, которую он назвал "Ill Bloom", связанной с плохой случайностью при генерации фраз восстановления в нескольких программных кошельках. Безопасная компания сообщила, что около 5 миллионов долларов переместилось из уязвимых кошельков к началу июля, хотя аппаратные кошельки, похоже, не пострадали от этой конкретной проблемы.

Слабая случайность может стать особенно опасной в криптовалютных кошельках, поскольку фразы семян в конечном итоге определяют приватные ключи, контролирующие активы. Если случайный ввод, используемый для создания семени, содержит слишком мало энтропии, атакующий с достаточными вычислительными ресурсами может быть в состоянии просмотреть уменьшенный диапазон возможных комбинаций.

Риски аппаратных кошельков привлекли новое внимание

Другие инциденты безопасности кошельков этим летом были связаны с различными методами атак.

Исследователи Donjon компании Ledger в июле продемонстрировали лазерную атаку на карту кошелька Tangem, которая могла сбросить ее пароль и потенциально позволить подписывать транзакции. Tangem заявила, что для этого метода требуется физическое обладание картой, специализированные знания и лабораторное оборудование стоимостью около 250 000 долларов, что делает атаку отличной от уязвимости кошелька, которую можно эксплуатировать удаленно.

Ончейн-исследователь ZachXBT также критиковал аппаратные кошельки в июле, заявив, что не считает существующие устройства подходящими для подписания критических транзакций или хранения больших сумм криптовалюты. Его комментарии представляли собой личную оценку и не были связаны с доказательствами нового компромисса аппаратного обеспечения в то время.

Инцидент с Coldcard связан с другой точкой отказа, поскольку исследователи связали кражи с генерацией семян на затронутых устройствах. TRM Labs заявила, что установка обновленного программного обеспечения не исправляет семя, которое изначально было создано с слабой случайностью, что означает, что пользователи с затронутыми кошельками должны будут сгенерировать новое семя на безопасном оборудовании и перевести свои биткойны на адреса, производные от него.

Для следователей украденный биткойн остается основным источником улик. Galaxy продолжает распространять подтвержденные адреса атакующих среди бирж, компаний по соблюдению норм и правоохранительных органов, одновременно отслеживая 1,561 BTC, который еще не покинул контролируемые атакующими кошельки для сбора и хранения.
Читать далее: Monad предлагает обновление кошелька для паролей, восстановления и квантовой безопасности