Исследователи Galaxy Research сообщили о крупном инциденте с аппаратными кошельками Coldcard: по данным на 2 августа 2026 года, злоумышленники похитили около 1367 биткоинов с примерно 4500 устройств. В денежном выражении это около $88,6 млн, и итоговая сумма, как отмечают аналитики, может вырасти.
Причиной стала ошибка в программном обеспечении Coldcard, выпущенном в 2021 году. Из-за неё устройство могло генерировать seed-фразы с недостаточной случайностью. На практике это означает, что такие фразы было проще подобрать перебором, чем предполагалось для безопасного хранения криптовалюты.
Кто именно стоит за атакой, пока не установлено. В Galaxy Research допускают, что для поиска и эксплуатации уязвимости злоумышленники могли использовать инструменты на базе искусственного интеллекта, чтобы ускорить анализ слабых комбинаций и автоматизировать перебор.
Производитель кошельков, компания Coinkite, заявил, что проблема затронула только часть моделей. Пользователям, которые создавали seed-фразу на уязвимой прошивке, рекомендовали сменить кошелёк. Данные об адресах, на которые выводили похищенные средства, уже переданы правоохранительным органам.
Почему эта история важна не только для крипторынка
Инцидент показал, что даже «холодное» хранение не гарантирует защиту, если уязвимость заложена на уровне прошивки или генерации ключей. Для российского digital-рынка это важный сигнал в более широком смысле: критически важны не только защита аккаунтов и резервные копии, но и качество генерации ключей, контроль версий ПО и аудит поставщиков инфраструктуры.
Для владельцев бизнеса, агентств и специалистов, которые работают с криптоплатежами, Web3-проектами или хранят цифровые активы компании, практический вывод очевиден: нельзя полагаться только на репутацию устройства. Нужно проверять, на какой прошивке создавались ключи, как устроено резервное хранение seed-фраз и есть ли распределение активов между несколькими кошельками.
Отдельно эта новость важна и для специалистов по безопасности маркетинговой инфраструктуры. Логика та же, что и в SEO, рекламе и аналитике: уязвимость часто возникает не в интерфейсе, а в базовом механизме — генерации токенов, доступов, ключей, резервных кодов. Поэтому контроль обновлений, аудит старых систем и отказ от единичной точки отказа остаются обязательными.
Что это означает на практике
Для бизнеса и специалистов это напоминание: даже аппаратные решения могут содержать критические ошибки годами. Если компания использует криптоинструменты, хранит цифровые активы или работает с чувствительными доступами, стоит срочно проверить старые устройства, версии прошивок и схему распределения рисков между несколькими хранилищами.
Если в компании используются аппаратные кошельки для хранения криптоактивов, проверьте модель устройства, версию прошивки и дату генерации seed-фразы. Все кошельки, где фраза создавалась на уязвимой версии ПО, нужно считать скомпрометированными и перевести средства на новый кошелёк с заново созданной seed-фразой.
Не храните все активы в одном устройстве или одном наборе ключей. Разделите средства между несколькими кошельками, настройте внутренний учёт ответственных лиц и зафиксируйте процедуру экстренной ротации ключей.
Проведите аудит всех критичных доступов в бизнесе по той же логике: кто и как генерирует ключи, токены, резервные коды и где хранятся бэкапы. Старые устройства и устаревшие версии ПО стоит проверять в первую очередь.
Частые вопросы
Какие пользователи Coldcard находятся в зоне риска?
Прежде всего те, кто генерировал seed-фразу на уязвимой прошивке 2021 года. Производитель уточнил, что проблема затронула только часть моделей.
Достаточно ли просто обновить прошивку на устройстве?
Нет, если seed-фраза уже была создана на уязвимой версии, её нужно считать небезопасной. В таком случае требуется новый кошелёк и новая seed-фраза с переводом средств.
Почему это важно бизнесу, если компания не работает с криптовалютой?
Инцидент показывает риск базовых ошибок в генерации ключей и доступов. Та же логика применима к токенам, резервным кодам, API-ключам и другим критичным элементам цифровой инфраструктуры.