ZachXBT відмовився відстежувати злом Coldcard на $88 млн через брак підтримки

Ончейн-дослідник ZachXBT заявив, що не планує відстежувати викрадені кошти у справі зламу Coldcard на $88,6 млн. За його словами, біткоїн-спільнота роками майже не підтримувала його роботу, тож він зосередить час на екосистемах, які цю роботу цінують. Він додав, що "bitcoin maxis" не є донорами чи спонсорами його розслідувань, отже він має "менше зобов'язань" допомагати. Заява прозвучала на п'ятий день інциденту, коли сума втрат продовжувала зростати. ZachXBT відомий участю у великих розслідуваннях, зокрема на безоплатній основі, тому його позиція підкреслила розрив між очікуваннями ринку та рівнем підтримки, яку він отримує. Що відомо про злом Coldcard Атака пов'язана з помилкою у прошивці апаратних гаманців Coldcard канадського виробника Coinkite. Проблема торкнулася пристроїв Coldcard Mk3 з версіями 4.0.1–4.1.9: у частини гаманців ентропія для seed-фрази генерувалася програмним генератором випадкових чисел замість виділеного апаратного чипа, через що певні seed могли виявитися підбірними. Перша хвиля сталася 30 липня: приблизно 594 BTC (близько $38 млн на той момент) були виведені майже з 500 "сплячих" адрес менш ніж за 30 хвилин. Coinkite випустила виправлену прошивку протягом двох днів, але втрати продовжили зростати. Станом на 2 серпня Galaxy Research відстежила 1 367 BTC на суму $88,6 млн, виведені з 4 585 адрес у межах трьох хвиль атак. Швидкість і точність операцій підживили припущення, що зловмисник використовував автоматизовані інструменти, можливо з AI-підтримкою, щоб за лічені хвилини знаходити вразливі адреси та виводити кошти. На тлі цього зросли депозити на біржі з викрадених монет, а також почав рухатися старий BTC, раніше неактивний, який пов'язують зі справою. Скандал із зберіганням даних посилив тиск на Coinkite Окрему хвилю критики викликали дії Coinkite після інциденту. Компанія розіслала попередження на всі email-адреси клієнтів, які змогла відновити з даних магазину та підписок, включно із записами з 2019 року. Це суперечить попереднім заявам CEO Родольфо Новака про те, що дані клієнтів видаляються через 90 днів після покупки та що доступні анонімні варіанти придбання. Згодом Coinkite визнала, що зберігає email-адреси покупців безстроково та не має політики їх видалення. Це спричинило критику вже не лише через сам злом. Новак захищав загальний рівень безпеки компанії, зазначаючи, що конкуренти регулярно стикаються з інцидентами, а Coinkite ставиться до ситуації максимально серйозно. Історія вже б'є по довірі до self-custody та може підштовхнути обережніших інвесторів у бік біржових фондів замість самостійного зберігання ключів. Резонанс вийшов і за межі технічного аспекту: у блокчейні Bitcoin з'явилася зухвала пропозиція "відмивання" для хакера, перетворивши справу на публічне шоу в реальному часі в соцмережах і в ончейн-даних. На тлі відмови ZachXBT основний тягар відстеження 1 367 BTC дедалі більше лягає на структури на кшталт Galaxy Research, яка публікує оновлення по хвилях у міру зміни активності гаманців зловмисника. Також з'явилися повідомлення, що помилка з ентропією у Coldcard Mk3 могла тягнутися ще з прошивки березня 2021 року. Це означає, що seed, згенеровані на тій версії протягом понад чотирьох років, могли залишатися під загрозою доти, доки власники не перейдуть на виправлену прошивку та не створять новий seed.