Atak na Coldcard przekroczył 100 mln USD. Z portfeli zniknęło 1"169 BTC

To, co początkowo wyglądało na pojedynczy, duży incydent związany ze sprzętowym portfelem, przerodziło się w szeroko zakrojone śledztwo forensyczne, a kolejne ustalenia zmieniają skalę zdarzenia. Pierwsze analizy łączyły wykorzystanie luki w Coldcard z 4"585 adresami w trzech falach ataku oraz kradzieżą ok. 1"367 BTC o wartości ok. 88,6 mln USD. Później badacze zidentyfikowali kolejne 1"912 poszkodowanych adresów, co zwiększyło straty o 207,73 BTC. Jednocześnie zwrócono uwagę, że wszystkie skradzione środki pozostawały niewydane, co sugerowało, że napastnik koncentrował się na konsolidacji środków zamiast na szybkim upłynnieniu. Od tego czasu dochodzenie znów się rozszerzyło. Potwierdzone straty przekraczają obecnie 1"1596 BTC, czyli ponad 100 mln USD, rozproszone w ok. 7"300 adresach. Galaxy Research wskazuje też 14 mniejszych, powiązanych incydentów, co podnosi szacowane straty w kierunku 2"000 BTC, czyli blisko 130 mln USD. Zdarzenie jest wymieniane jako jedna z najpoważniejszych porażek w obszarze bezpieczeństwa przechowywania (custody) w ekosystemie Bitcoina i ponownie otwiera dyskusję o odporności portfeli sprzętowych. Dane z łańcucha bloków wzmacniają ustalenia W miarę rozszerzania śledztwa analiza on-chain pokazuje, w jaki sposób zarządzano skradzionymi bitcoinami po atakach. Trzy potwierdzone fale kradzieży pozostają osią sprawy. Badacze rozważają też czwartą, podejrzewaną falę, która po potwierdzeniu przez poszkodowanych mogłaby podnieść łączną kwotę do 2"055 BTC (ok. 130 mln USD). Najbardziej charakterystyczny jest spójny wzorzec przepływów. Około 90% skradzionych BTC pozostaje nietknięte. Co więcej, środki przeniesione w ramach fali 1, fali 2 i fali 3 nadal znajdują się na adresach odbiorczych. Taka bierność zwiększa pewność badaczy w mapowaniu portfeli kontrolowanych przez sprawcę i w identyfikowaniu kolejnych powiązanych adresów. Równolegle wykryte drobniejsze zdarzenia mogą wskazywać, że po pierwotnym kompromisie inni, oportunistyczni aktorzy próbowali wykorzystać podobne warunki. Wraz z poprawą atrybucji on-chain śledczy przekazują zweryfikowane adresy organom ścigania, giełdom oraz firmom compliance. To zwiększa szanse na wykrycie przyszłych ruchów środków i ogranicza możliwości ich spieniężenia. Incydent uderza w zaufanie do samodzielnej kontroli środków Sprawa nie obala samej idei self-custody, ale uwypukla znaczenie dobrze zaprojektowanych portfeli oraz niezależnych generatorów entropii. Wzmacnia też rekomendacje dotyczące ochrony użytkowników, w tym stosowanie multisig oraz lepszych metod wykonywania kopii zapasowych. W reakcji Coinkite opublikował awaryjne firmware, wstrzymał wysyłki i wezwał użytkowników do wygenerowania całkowicie nowych seedów przed przeniesieniem środków. Aktualizacje oprogramowania nie naprawią jednak słabych seedów wygenerowanych wcześniej. Odbudowa zaufania będzie zależeć od transparentnych audytów bezpieczeństwa, weryfikowalnej losowości oraz czytelniejszych standardów branżowych. W efekcie incydent może zmienić sposób zabezpieczania bitcoinów przez użytkowników, zamiast zniechęcać do self-custody jako takiej. Podsumowanie Atak na Coldcard przekroczył 100 mln USD, stając się jednym z najpoważniejszych incydentów bezpieczeństwa w segmencie portfeli sprzętowych. Wydarzenie przyspiesza wdrażanie mocniejszych praktyk ochrony self-custody i zabezpieczania portfeli.