Coldcard преследуют: после кражи биткоина взломали еще и аккаунт в X

Производитель аппаратных кошельков Coldcard снова оказался в центре скандала, связанного с безопасностью. 11 октября 2026 года официальный аккаунт бренда в X опубликовал фейковое предупреждение о "критической уязвимости прошивки" в моделях Mk4, Mk5 и Q, подталкивая пользователей срочно перевести средства через фишинговый сайт. Пост быстро удалили, но осадок остался - особенно учитывая, что еще три месяца назад компания пережила одну из крупнейших краж биткоина в истории self-custody кошельков.

Почему фейковое предупреждение сработало на фоне паники вокруг Coldcard

Чтобы понять, почему атака оказалась такой эффективной, нужно вспомнить, что произошло с Coldcard летом. В конце июля 2026 года компания Coinkite, выпускающая устройства под этим брендом, обнаружила ошибку компоновщика в коде устройства. Из-за этого кошельки генерировались с недостаточной энтропией - вместо честного генератора случайных чисел (TRNG) система использовала уязвимый программный алгоритм.

Злоумышленники не стали ждать и начали подбирать слабые seed-фразы методом брутфорса, вскрывая кошельки офлайн без всякого фишинга. Первая волна хищений стартовала 30 июля 2026 года, и по оценкам специалистов, суммарные потери составили около 1600-1800 BTC, что на тот момент равнялось приблизительно 100-130 миллионам долларов. Это сделало инцидент одним из самых крупных случаев потери средств владельцами холодных кошельков за год. Подробнее о том, как рынок переживал подобные шоки, можно почитать в материале о том, как курс биткоина обваливался, а киты скупали просадку.

Как Coinkite пыталась закрыть брешь

После обнаружения уязвимости Coinkite срочно выпустила исправленные версии прошивки: 4.2.0 для Mk3, 5.6.0 для Mk4/Mk5 и 1.5.0Q для Q. Проблема была в том, что обновление прошивки само по себе не исправляло уже существующие кошельки. Каждому пользователю приходилось вручную генерировать новую seed-фразу и переносить активы на новый адрес - процедура неприятная, требующая внимательности и понимания, что делаешь.

Именно этот болезненный процесс миграции и скопировали злоумышленники в октябрьской фишинговой рассылке. Они указали в поддельном посте ровно те же номера "патченных" версий прошивки, чтобы усилить панику и убедить держателей кошельков Coldcard как можно быстрее перевести средства - разумеется, на адреса самих атакующих.

Coldcard утверждает, что собственные системы не взламывали

Самое странное в октябрьском инциденте то, что представители Coldcard не нашли никаких следов компрометации на своей стороне. Компания заявила, что в логах нет записей о несанкционированных входах или сессиях, а учетные данные и офлайн-метод двухфакторной аутентификации, которым команда пользуется с 2017 года, остались нетронутыми.

Команда Coldcard официально обратилась в поддержку X с требованием срочного расследования, заявив, что фишинговый пост появился через уязвимость на уровне самой соцсети или ее административной панели.

Срочно просим эскалацию. На нашем аккаунте появился фишинговый пост, но мы не находим соответствующего входа, сессии или записи о доступе. Наши учетные данные и офлайн-2FA остаются защищенными.

Это вызывает серьезные опасения по поводу несанкционированного доступа на уровне платформы или через административные инструменты. Нам также известно о сообщениях, что доступ к административным аккаунтам X продается на теневых площадках, хотя мы не можем самостоятельно подтвердить эту связь.

Просим сохранить все соответствующие логи и немедленно начать расследование силами вашей команды безопасности. Похоже, это целенаправленная и очень точная атака.

Разработчики отдельно упомянули сведения о том, что доступ к внутренним инструментам X якобы продается на даркнет-рынках, хотя независимого подтверждения этой связи пока нет.

Что эта история говорит о безопасности аппаратных кошельков

За последние несколько лет держатели аппаратных кошельков привыкли думать, что главная угроза - софт и прошивка самого устройства. История с уязвимостью энтропии у Coldcard это подтвердила, но октябрьский инцидент показывает другую сторону проблемы: даже если устройство в порядке, атакующие могут добраться до пользователя через официальные каналы коммуникации бренда. Похожая логика уже обсуждалась в контексте расследования о шпионском чипе в Ledger Nano X, где доверие к производителю тоже оказалось под вопросом, хотя причина была совсем иной - подозрения касались самого железа, а не соцсетей.

Для обычного пользователя Coldcard это означает простую вещь. Любое сообщение о "критической уязвимости" с призывом срочно куда-то что-то перевести нужно проверять через официальный сайт и независимые источники, а не доверять единственному посту в X, даже если аккаунт выглядит официальным. Риск потери средств в этом конкретном случае касался в первую очередь тех, кто запаниковал и вручную ввел свою 24-словную seed-фразу на фишинговой странице - сам кошелек Coldcard при этом никак не был скомпрометирован.

Что делать владельцам кошельков Coldcard прямо сейчас

Если вы владелец устройства Coldcard и получили похожее предупреждение, стоит придерживаться нескольких простых правил:

• Никогда не вводить seed-фразу на сторонних сайтах, даже если ссылка пришла из официального аккаунта бренда.
• Проверять номера версий прошивки только через сайт Coinkite, а не через пост в соцсети.
• Если прошивка действительно обновлялась летом 2026 года и миграция уже выполнена, новое "срочное" предупреждение почти наверняка фейк.
• В случае сомнений обращаться в поддержку Coinkite напрямую, а не по ссылкам из подозрительных постов.

История с Coldcard наглядно показывает, что безопасность криптоактивов сегодня зависит не только от качества самого устройства, но и от того, кто и как контролирует официальные каналы связи бренда. Пока расследование взлома аккаунта в X продолжается, держателям кошельков Coldcard остается рассчитывать на собственную бдительность - и лишний раз сверять любую "срочную" новость с официальным сайтом производителя.

Автор

Barbados