Galaxy Research: через вразливість у Coldcard втрати можуть сягнути $130 млн

Galaxy Research оцінила потенційні збитки від вразливості апаратного біткоїн-гаманця Coldcard у 2 000 BTC, або близько $130 млн. За підрахунками аналітиків, у трьох підтверджених хвилях атак та 14 менших інцидентах було викрадено 1 596 BTC із 7 300 адрес. Проблема стосується seed-фраз, згенерованих на прошивках Coinkite для моделей Coldcard Mk3, Mk4, Mk5 та Coldcard Q. Coinkite випустила екстрені оновлення прошивки для всіх уражених моделей і повідомила про знищення залишків уразливих пристроїв на складі. Galaxy Research також вказує на ймовірну четверту хвилю атаки без конкретного підтвердження постраждалих. У разі її врахування сумарні втрати можуть зрости до 2 055 BTC. Чому це важливо: вразливість, пов'язана із seed-фразою, створює прямі ризики зберігання активів і може підірвати довіру до відповідних self-custody налаштувань. Ринкові настрої: обережно ведмежі; стресові, технічно зумовлені, страх. Пояснення: оцінка потенційних втрат до 2 000 BTC здатна тиснути на довіру до апаратних гаманців. Аналогічні випадки: у 2023 році користувачі Atomic Wallet подали позов через втрату криптоактивів більш ніж на $100 млн унаслідок злому, що підкреслює, як компрометація гаманця може перерости у тривалі процеси відшкодування та відповідальності (Bloomberg Law). Відмінність у тому, що Atomic Wallet був програмним гаманцем із мультиактивними втратами, тоді як випадок Coldcard зосереджений на біткоїн-seed, згенерованих конкретними версіями прошивки апаратного гаманця. Побічний ефект: дефект у генерації seed може вплинути не лише на окремі втрати, а й на поведінку зберігання — користувачі можуть переміщувати кошти, а біржі посилювати перевірку підозрілих монет. Якщо буде виявлено додаткові адреси зловмисників, то моніторинг бірж і повідомлення правоохоронцям визначатимуть, чи вдасться локалізувати викрадений біткоїн. Підтвердження четвертої хвилі може змусити ринок сприймати інцидент як масштабніший і такий, що все ще триває. Можливості та ризики. Можливості: якщо перелік адрес зловмисників розшириться, а викрадені монети залишатимуться нерухомими, очікування чіткіших сигналів щодо відновлення може знизити ризик імпульсивних рішень на тлі гучних оцінок. Ризики: якщо четверта хвиля отримає підтвердження постраждалих або викрадені монети почнуть рухатися, зменшення залежності від уражених конфігурацій гаманця може обмежити операційні втрати.