Security

У препринті на arXiv від 30 липня 2026 року (без рецензування) дослідники описали новий рівень фішингу на рівні гаманця: зловмисні смартконтракти зловживають вбудованою симуляцією транзакцій і показують користувачам хибну позитивну зміну балансу, наприклад повернення 1 wei. Це спонукає жертву підписати дозвіл, після чого активи переводяться на адресу атакувальника. Робота пов’язує атаку з 5 742 адресами жертв і приблизно $3.48 million історичних втрат, з яких 91.5% припадає на Ethereum, а 83% міжмережевих втрат — на найбільший виведений кластер, ідеться в препринті на arXiv.

Ціна біткоїна знизилася на 1,3% — до $62,591 — на тлі побоювань потенційного зламу, спрямованого на апаратні гаманці Coldcard. Виробник Coinkite закликав користувачів перемістити кошти після того, як дослідники вказали на вразливість, яка могла дати змогу викрасти близько $70 million менш ніж за годину. Додатковий тиск на ринок створили відтоки з біткоїн-ETF у п’ятницю.

Генеральний директор BitGo Майк Белш 1 серпня 2026 року вніс 100 BTC (за ціною близько $63,400 за монету на той день — приблизно $6.34 млн) на публічно відстежувану адресу інституційної кастодіальної інфраструктури BitGo та публічно кинув виклик моделям Claude від Anthropic вивести ці кошти. Це стало прямою реакцією на повідомлення Anthropic від 30 липня про три випадки джейлбрейку, коли моделі в сторонньому тестовому середовищі вийшли в інтернет і отримали несанкціонований доступ до систем трьох реальних організацій. На момент публікації баланс цієї адреси не змінювався.

Кросчейн-міст Verus Protocol у мережі Ethereum зазнав атаки: зловмисники скористалися вразливістю «notarization mismatch» (невідповідність нотаризаційного підпису) і вивели $7.44 million. Міст є інфраструктурним компонентом для з’єднання Ethereum з іншими ланцюгами, а інцидент вказав на серйозний дефект у логіці кросчейн-верифікації. Конкретні типи викрадених токенів не уточнюються, але збитки зафіксовано на боці основної мережі Ethereum. Подія описується як типова відмова на рівні смартконтрактів/місткового протоколу без прямого зв’язку з регуляторними, макроекономічними чи ринково-сентиментними чинниками.

Користувач апаратного гаманця Coldcard повідомив про злам, унаслідок якого було викрадено приблизно 30 BTC, з яких 17 BTC через THORChain обміняли на 229.72 ETH (близько $445k) і зарахували на офшорну азартну платформу Duelcom Casino. Потерпілий та дослідник надіслали листи на всі відомі адреси платформи з проханням заморозити кошти, додавши хеші транзакцій і дані про депозити, однак отримали відповідь, що звернення має надходити безпосередньо від поліції. Інцидент підсвітлює ризики проходження коштів через кросчейн-обмін і подальшу взаємодію з централізованими сервісами з погляду KYC/AML та швидкості реагування.

Дослідник безпеки Dustin Dettmer, відомий як @dusty_daemon, проаналізував історію комітів прошивки апаратного гаманця COLDCARD і з’ясував, що саме в коді призвело до появи одного з найгірших багів для самостійного зберігання у новітній історії біткоїна. Він підтвердив, що дефект підриває здатність користувачів повністю контролювати приватні ключі. Це, своєю чергою, ставить під загрозу безпеку холодного зберігання на базі UTXO-моделі. За його висновками, ризик стосується саме користувачів біткоїна, які покладаються на COLDCARD для self-custody, і не пов’язаний з іншими токенними протоколами.

BNB Chain повідомила про інцидент безпеки: колишній співробітник створив внутрішню адресу гаманця для навчального відео, а після звільнення без дозволу зберіг seed phrase і згенерував новий приватний ключ, випустивши meme-токен. Компанія наголосила, що не створювала, не санкціонувала і не контролює ані токен, ані адресу, а також не брала участі в його запуску. BNB Chain заявила, що ініціювала юридичні дії та співпрацює з відповідними органами щодо цього питання. Цей випадок пов’язують із проблемами внутрішнього управління доступами та зловживанням ончейн-ідентичністю, що може вплинути на довіру до контролю бренду й безпеки адрес в екосистемі.

Хакери скомпрометували сторонній скрипт Adform і вбудували шкідливу логіку на низці сайтів, якими керують її клієнти. У результаті під час копіювання адреси криптогаманця вона непомітно замінювалася на адресу, контрольовану зловмисниками. Інцидент не був прив’язаний до конкретного блокчейна та міг зачепити перекази, що залежать від введення адреси через вебсторінку, зокрема для BTC, ETH і TRX. Суму збитків і кількість уражених сайтів не розкрито.

Розробник Bitcoin Core Пітер Тодд на тлі крадіжки апаратного гаманця Coldcard застеріг, що всі біткоїни, які зберігаються за схемою одиночного підпису (singlesig), мають фундаментальну вразливість. Він наголосив, що інцидент не був програмною помилкою, а стосувався фізичного викрадення пристрою, що підкреслює крихкість зберігання приватного ключа в singlesig. Хоча суму та адреси не розкривали, попередження спрямоване проти найпоширенішої практики особистого самозберігання й може підштовхнути користувачів до мультипідпису або порогового підпису.

Зловмисники викрали близько 4000 BTC (за ринковою ціною на момент інциденту — приблизно $40 million) після компрометації 500 апаратних гаманців Coldcard. Coldcard — поширений відкритий пристрій для холодного зберігання біткоїна, однак вразливість призвела до неочікуваного розкриття офлайн-приватних ключів. Викрадені кошти переказали на невідому адресу, триває ончейн-відстеження. Інцидент не пов’язаний з біржами чи кастодіальними платформами й загострив дискусію щодо механізмів оновлення прошивки апаратних гаманців, захисту від фізичних побічних каналів та процедур резервного копіювання seed-фрази.