Galaxy Research связала атаку на Bitcoin-кошельки Coldcard на $70 млн с выводом средств с 1 196 адресов

Galaxy Research заявила, что выявила 1 196 биткоин-адресов, связанных с Coldcard, с которых за 41 минуту 30 июля были выведены 1 082,65 BTC на сумму около $70,2 млн. По данным исследователей, операции прошли в интервале 01:10:20–01:51:26 UTC в шести блоках сети Bitcoin — до того, как Coinkite публично сообщила об уязвимости прошивки, затронувшей отдельные аппаратные кошельки Coldcard. В Galaxy уточнили, что за последние 30 дней не обнаружили других транзакций с аналогичными признаками. Одинаковый on-chain почерк указывает на одного оператора В отчёте Galaxy Research отмечается, что каждая транзакция оплачивала комиссию ровно 30,0 sat/vB и не формировала выход сдачи. По мнению аналитиков, фиксированная комиссия отличает активность от типичных консолидаций и указывает на одного автоматизированного исполнителя. Всего, как следует из данных Galaxy, были "выметены" 1 183 адреса native SegWit, семь адресов BIP49 и шесть адресов BIP44 — распределение соответствует автоматическому сканированию разных путей деривации кошелька. Отдельно исследователи указывают, что транзакции шли пакетами: в течение 41 минуты три промежуточных блока не содержали операций "свипа". Galaxy Research также сообщила, что похищенные средства были консолидированы на четырёх биткоин-адресах. По состоянию на момент публикации эти средства, по данным компании, не перемещались после первоначального объединения. Ошибка в прошивке вызвала экстренные обновления Coinkite сначала предупредила пользователей о проблеме, затрагивающей seed-фразы, созданные на устройствах Coldcard Mk3 с прошивкой версии 4.0.1 и выше. Позднее компания расширила предупреждение на отдельные версии прошивки для Mk4, Mk5 и Coldcard Q и выпустила экстренные обновления. Генеральный директор Coinkite Родольфо Новак взял ответственность за ошибку прошивки и извинился, отметив, что процедура проверки не выявила проблему до релиза. Он также предположил, что в обнаружении уязвимости мог помочь искусственный интеллект, и добавил, что AI-ассистированная проверка кода способна находить слабые места быстрее традиционного ручного аудита. Galaxy Research: риск повторных атак сохраняется По оценке Galaxy Research, новые атаки остаются возможными, если пользователи продолжают хранить средства на затронутых одно-подписных адресах Coldcard. При этом компания подчёркивает, что будущие инциденты могут не повторять тот же on-chain шаблон: выявленный набор признаков связывает только первоначального злоумышленника и не позволяет гарантированно отлавливать последующие кражи, поскольку такие транзакции могут выглядеть как легитимные переводы. Galaxy рекомендовала перевести средства в проверенные кастодиальные сервисы либо использовать схемы самохранения с мультиподписью. Coinkite, со своей стороны, советует установить обновлённую прошивку, сгенерировать новый seed, протестировать кошелёк небольшой транзакцией и сохранять старые резервные копии до полного завершения миграции.