Уязвимость Coldcard привела к краже биткоинов на $38 млн

В ночь на 31 июля у владельцев примерно 500 аппаратных кошельков Coldcard было украдено 594,48 биткоинов, что эквивалентно $38,2 млн. Аналитики Lookonchain обратили внимание на этот инцидент и сообщили, что средства были переведены на адрес bc1qnk.

Операция по переводу средств заняла менее 30 минут. Все украденные монеты были собраны на одном адресе, где они остаются неподвижными. Каждый кошелек, подвергшийся атаке, имел одну подпись и содержал более 0,15 BTC, причем многие из них не использовались годами.

Компания Coinkite, создатель Coldcard, заявила в своем блоге, что причиной кражи стала уязвимость в прошивке кошельков. Несмотря на это, представители компании не подтвердили напрямую факт взлома пользователей.

Уязвимость присутствует во всех версиях прошивки Mk3, начиная с 4.0.1, и затрагивает сид-фразы, созданные на Mk4 и Mk5 до версии 5.6.0, а также на Q до версии 1.5.0Q. Команда Coinkite рекомендовала пользователям срочно обновить программное обеспечение и в настоящее время занимается расследованием.

Напомним, что в декабре 2025 года атака на браузерное расширение Trust Wallet привела к ущербу в $7 млн, затронув сотни пользователей.