Могут ли холодные кошельки быть взломаны? Как владельцы Coldcard и Ledger потеряли криптовалюту, не выходя в интернет

Безопасность аппаратных кошельков

Аппаратный кошелек, запертый в банковском сейфе и никогда не подключенный к интернету, должен быть одним из самых безопасных мест для хранения Bitcoin. Тем не менее, в июле 2026 года злоумышленники украли криптовалюту у владельцев Coldcard, не касаясь их устройств, в то время как другая операция нацелилась на подлинные кошельки Ledger, модифицированные до того, как они попали к клиентам.

Уязвимости Coldcard

Эти инциденты поставили под сомнение одно из самых известных предположений о безопасности криптовалюты: хранение приватных ключей в оффлайне недостаточно для защиты средств. Холодные кошельки действительно защищают приватные ключи от многих онлайн-атак, но их безопасность все еще зависит от того, как эти ключи генерируются, как производятся устройства и что одобряют пользователи.

30 июля злоумышленники начали выводить Bitcoin с адресов, связанных с аппаратными кошельками Coldcard, используя уязвимость, введенную за годы до кражи. Согласно расследованию Galaxy Research, ошибка в прошивке, датируемая мартом 2021 года, привела к тому, что затронутые устройства генерировали фразы восстановления с недостаточной случайностью.

Вместо того чтобы полагаться на специализированную аппаратную энтропию, программное обеспечение использовало предсказуемую информацию о устройстве и времени.

Злоумышленники могли воспроизводить возможные фразы восстановления на своих компьютерах, выводить соответствующие адреса Bitcoin и идентифицировать уязвимые кошельки через публичные записи блокчейна. К 4 августа следователи связали более 100 миллионов долларов убытков с этой уязвимостью, при этом оценки достигали примерно 130 миллионов долларов, если учитывать подозреваемые дополнительные атаки.

Один из пострадавших сообщил о потере 18.25 BTC за семь минут, несмотря на то, что устройство хранилось в банковском сейфе. Расследование Coldcard показало, что физическая изоляция не обеспечивала защиту, как только сам сид стал предсказуемым.

Угрозы для Ledger

В октябре 2026 года Ledger раскрыла еще одну угрозу, связанную с подлинными аппаратными кошельками, которые были физически модифицированы перед перепродажей. Согласно официальному ответу Ledger на инцидент, преступники покупали подлинные устройства, устанавливали скрытые компоненты, предназначенные для захвата фраз восстановления во время настройки, и возвращали их в каналы распределения в Юго-Восточной Азии.

После активации скомпрометированные устройства могли раскрывать информацию о восстановлении злоумышленникам.

Ledger утверждала, что ее защищенные чипы, операционная система и серверы не были скомпрометированы. Атака нацеливалась на процесс распределения, а не использовала универсальную уязвимость программного обеспечения. Coinpaper ранее освещала приостановку региональных продаж, которая последовала за оценками, что более 86 миллионов долларов в криптовалюте могли быть украдены.

Ledger также столкнулась с отдельной компрометацией Connect Kit в декабре 2023 года, когда вредоносное программное обеспечение обманом заставило пользователей подключенных децентрализованных приложений подписывать транзакции. Тот предыдущий инцидент не скомпрометировал само оборудование Ledger.

Выводы и рекомендации

Главный урок заключается в том, что оффлайн-хранение защищает от определенных угроз, но не от всех методов кражи приватных ключей. Coldcard выпустила исправленную прошивку, но ее рекомендации по безопасности подчеркивают, что обновление устройства не может исправить фразу восстановления, созданную с использованием уязвимого программного обеспечения.

Затронутые владельцы должны сгенерировать новую информацию для восстановления в безопасных условиях и перевести свои средства на новые адреса. Инцидент с Ledger подчеркивает важность покупки оборудования непосредственно у производителей или доверенных дистрибьюторов и проверки на необычное поведение при настройке.

Пользователи также должны проверять детали транзакций на экране устройства и никогда не раскрывать фразы восстановления, включая в ответ на поддельные уведомления о безопасности или сообщения поддержки.