Coldcard: rosną straty po luce w firmware

Coldcard pod presją po wielomilionowym ataku

Straty związane z luką w portfelach sprzętowych Coldcard przekroczyły już 115 mln dolarów w przeliczeniu według kursu Bitcoina z momentu kradzieży. Atak rozpoczął się pod koniec lipca 2026 roku i nadal obejmuje kolejne fale nieautoryzowanych wypłat z portfeli, które korzystały z podatnego firmware.

Według zebranych danych skala incydentu rośnie wraz z napływem kolejnych zgłoszeń od poszkodowanych użytkowników. Wstępne szacunki mówiły o ponad 1 800 BTC utraconych z ponad 5 000 adresów, a późniejsze analizy wskazywały, że łączna kwota mogła być jeszcze wyższa.

Na czym polegała luka

Problem dotyczył błędu w generowaniu seedów w urządzeniach Coldcard Mk3 oraz starszych modelach. Od wersji firmware 4.0.1, wdrożonej w marcu 2021 roku, proces losowania miał w pewnych warunkach spaść z użycia sprzętowego generatora losowości do słabszego software'owego PRNG. W praktyce oznaczało to, że część seed phrase mogła zostać wygenerowana z dużo niższą entropią, a więc stać się możliwa do odgadnięcia.

Coinkite, producent Coldcard, ostrzegł użytkowników, by natychmiast aktualizowali oprogramowanie albo przenosili środki do innych rozwiązań do przechowywania kryptowalut.

Pierwsza fala i tropy śledczych

Największa, pierwsza fala ataku objęła 1 082,65 BTC i według dostępnych danych środki te wciąż pozostają nietknięte na adresie kontrolowanym przez atakującego. To sprawia, że część obserwatorów liczy na możliwość odzyskania przynajmniej części aktywów.

Równolegle prowadzone są analizy on-chain oraz zbierane są zgłoszenia od ofiar. Jedna z firm zajmujących się analizą blockchainu podała, że skontaktowała się już z ponad 200 poszkodowanymi, by wspierać ich i zebrać informacje pomocne przy identyfikacji sprawców.

Pojawiły się też informacje, że organy ścigania mogą dysponować tropem prowadzącym do operatora pierwszej, największej fali. W śledztwie wskazano na nietypowy wzorzec działań podczas wypłat, który miał pasować do konta w znanym serwisie danych blockchain. Według ustaleń, wewnętrzne logi tego dostawcy miały niezwykle precyzyjnie zgadzać się z przebiegiem operacji.

Czy to był atak z zewnątrz?

W społeczności Bitcoina pojawiły się spekulacje, że mogło chodzić o tzw. retirement attack, czyli scenariusz, w którym ktoś celowo zostawia ukrytą słabość w projekcie z myślą o późniejszym wykorzystaniu. Tego typu teorie pojawiły się m.in. dlatego, że problem przypominał wcześniejsze ostrzeżenia dotyczące błędów w generowaniu entropii.

Na ten moment brak jednak twardych dowodów na zaplanowany, wewnętrzny spisek. Analizy techniczne sugerują raczej ciąg niefortunnych decyzji i błędów w łańcuchu integracji kodu. Luka miała się pojawić przy dużej przebudowie części kryptograficznej, kiedy to zastępowano starsze komponenty nową biblioteką i zmieniano sposób generowania losowości.

Co to oznacza dla użytkowników

Najważniejszy wniosek z całej sprawy jest prosty: nawet popularny hardware wallet nie daje pełnej ochrony, jeśli błąd pojawi się na poziomie firmware i seed generation. W przypadku Coldcard problem dotknął starsze urządzenia i firmware sprzed łatki, dlatego użytkownicy tych modeli muszą sprawdzić, czy ich środki nie są nadal zagrożone.

W praktyce incydent stał się jednym z najgłośniejszych przypomnień, że self-custody wymaga nie tylko dobrego sprzętu, ale też stałego śledzenia aktualizacji i komunikatów producenta.

Najważniejsze fakty

• łączna wartość skradzionego Bitcoina przekroczyła 115 mln dolarów,
• pierwsza fala obejmowała 1 082,65 BTC,
• problem dotyczył błędu w generowaniu seedów w Coldcard Mk3 i starszych urządzeniach,
• luka była powiązana z firmware od wersji 4.0.1,
• część środków z pierwszej fali nadal nie została ruszona,
• śledczy badają, czy za największą falą stoi zidentyfikowany już operator.

Sprawa pozostaje otwarta, a dokładna skala strat może jeszcze wzrosnąć wraz z kolejnymi zgłoszeniami od użytkowników.