2026-08-12

На этой неделе оборону само-курации кошельков одновременно ударили две проблемы: уязвимость прошивки аппаратного кошелька Coldcard подтолкнула к выведению более 230 тысяч биткоинов из кошельков долгосрочных держателей, а также, как сообщают Bitcoin Magazine и Decrypt, утечка учётных данных для Lightning Network у открытого платёжного процессора BTCPay Server заставила команду объявить: «безопасностные патчи будут бесконечно долго иметь приоритет над новыми функциями»

## Уязвимость Coldcard вызвала массовый перевод средств

Дефект генератора случайных чисел, который в прошивке Coldcard был заложен ещё в 2021 году, был использован злоумышленниками; по сей день это привело к краже по меньшей мере 1 816 биткоинов (примерно 116 млн долларов США). CEO Casa Ник Неуман, ссылаясь на данные ончейн, отмечает: в течение нескольких дней после взлома Coldcard было похищено 2,1k биткоинов, 22k биткоинов переведены на биржи, а 233k биткоинов выведены из кошельков долгосрочных держателей. Неуман считает, что эти цифры доказывают устойчивость биткоина как класса активов благодаря само-курации

Согласно данным The Block, число новых адресов биткоина, добавленных за прошлую неделю, выросло примерно со 260 тысяч до более чем 330 тысяч, резко развернув тенденцию снижения, которая преобладала большую часть этого года. Этот скачок, как полагают, напрямую связан с перемещением средств из‑за уязвимости Coldcard

## Почему цифры потерь трудно определить

В отличие от краж из централизованных бирж, жертвы атак на аппаратные кошельки распределены по тысячам и десяткам тысяч адресов, поэтому нет полного списка пострадавших. Как сообщается в Cointelegraph, на данный момент CryptoQuant подтверждает потери в размере 1 432 BTC, в то время как анализы Galaxy Research и TRM Labs указывают на более высокие цифры

Методика Galaxy заключается в том, чтобы отправляться от отчетов самих жертв: они напрямую подтвердили потери более чем на 450 BTC, но эти сообщения помогли выявить еще 730 BTC, полученных от пострадавших, которые еще не сообщили об этом сами. Galaxy по‑прежнему удерживает много средств, которые, возможно, относятся к атаке, однако не хватает достаточных доказательств, чтобы включить их в статистику

Руководитель исследований CryptoQuant Хулио Морено объяснил, почему общий итог всегда является оценкой: «Украденные биткоины принадлежат людям, а не децентрализованным сущностям (например, биржам); мы можем подтвердить только ту часть, которую каждый пострадавший публично раскрывает». Статистика CryptoQuant на уровне 1 432 BTC описывается как «нижняя граница»: если больше жертв опубликуют адреса, на которые пришла кража, этот показатель может вырасти

## BTCPay Server: от утечки учетных данных Lightning до бона в 3 BTC

10 августа сторонники BTCPay Server пообещали выплатить до 3 BTC в качестве вознаграждения за возврат украденных средств — из расчета 10% от суммы возвращенного, при этом потолок составляет 3 BTC. План вознаграждений даже допускает возможность, что вознаграждение будет адресовано самому атакующему — при условии, что он предоставит действенные сведения и вернет средства

На прошлой неделе злоумышленник извлек учетные данные macaroon для администрирования Lightning Network из затронутых инстансов BTCPay Server. Фонд BTCPay заявит, что они передали 0,21 BTC разработчику Sparrow Wallet Крейгу Ра у в качестве пожертвования и 0,21 BTC Фонду Bitcoin Red Team — чтобы отметить ответственное раскрытие уязвимости обеими сторонами

В своем заявлении команда проекта добавила структурное суждение: улучшенные модели ИИ позволяют быстрее и дешевле проводить поиск уязвимостей в больших кодовых базах, что смещает баланс в сторону атакующего, а биткоин‑сообщество сталкивается с этим в первую очередь из‑за его необычно высокой ценности

## Линия обороны была атакована дважды, но в разном направлении

Уязвимость Coldcard — это дефект на этапе генерации ключа: в прошивке 2021 года вместо аппаратного источника энтропии использовался генератор случайных чисел на программном обеспечении, и злоумышленник смог офлайн‑брутфорсом взломать достаточно слабое пространство ключей. Проблема BTCPay — утечка учетных данных для уже сгенерированных ключей: macaroon в Lightning Network сам по себе не является приватным ключом, но его наличие позволяет управлять средствами

Первое — это «как появляются ключи», второе — «кто может использовать ключи». Два уязвимости были раскрыты в одной и той же неделе и вызвали массовую миграцию средств, что показывает: самозащищенная линия обороны — это не просто вопрос «где хранится приватный ключ», а целая цепочка от источника энтропии, генерации, хранения до учетных данных для использования — недостаток в любом звене способен лишить сам ключ смысла с точки зрения безопасности.

（Раскрытие: статья подготовлена командой CoWallet. CoWallet — это MPC‑кошелек с пороговой ECDSA, у которого есть своя позиция по этому вопросу. В тексте данные снабжены указанием источников; оцените их самостоятельно. Информация о продукте: https://cowallet.ai/en?pid=jingle）