Galaxy Research повысила оценку потерь в инциденте с Coldcard до $70 млн

Аналитики Galaxy Research (исследовательское подразделение Galaxy Digital) расширили оценку масштаба инцидента с аппаратными кошельками Coldcard, выявив 1"196 затронутых биткоин-адресов. По их данным, за 41 минуту с этих адресов было выведено в сумме 1"082,65 BTC — на момент совершения транзакций это соответствовало примерно $70,2 млн. Трассировка Galaxy охватывает движения средств 30 июля в интервале 01:10–01:51 UTC и включает блоки 960"183–960"191. Этот всплеск активности произошёл примерно за 30 часов до того, как Coldcard опубликовала первое публичное уведомление по безопасности. Ранее оценка была заметно ниже. CEO и сооснователь AnchorWatch Роб Хэмилтон указывал на 594,48 BTC (около $38 млн на тот момент), прошедшие через 500 транзакций в более узком окне из трёх блоков. В Galaxy отмечают, что расширение выборки адресов и временного диапазона вокруг событий 30 июля практически удвоило объём BTC, который можно связать с массовым "свипом". По наблюдениям Galaxy Research, транзакции имеют выраженный повторяющийся "почерк": одинаковая комиссия 30 сатоши за виртуальный байт и отсутствие change-выходов. Такой набор признаков помогает кластеризовать связанную активность в ончейне и снижает риск ошибочной атрибуции. При этом исследователи предупреждают, что последующие выводы средств с адресов, созданных на уязвимой прошивке, могут не сохранять этот же шаблон — поэтому подсчёты, основанные только на одном узнаваемом паттерне, способны недооценить дополнительные раунды активности при иных комиссиях или структуре выходов. Производитель Coldcard — компания Coinkite — признал проблему на стороне прошивки. В пятницу в X сооснователь Coinkite Родольфо Новак сообщил, что компания уточняет полный масштаб инцидента и выпустила hotfix, убирающий один из программных fallback-механизмов. Он также подчеркнул ограничение меры: обновление не защищает сиды, которые были сгенерированы на уязвимой версии. Пользователям, создавшим seed-фразы в затронутый период, рекомендовано перевести средства на новый seed, поскольку простое обновление устройства не делает уже скомпрометированные ключи безопасными. На что обратить внимание пользователям: выявленный шаблон ончейн-выводов даёт более структурированную основу для мониторинга, но предупреждение Galaxy о возможной смене "отпечатка" означает, что картина может продолжить меняться. Тем, кто подозревает генерацию seed на уязвимой прошивке, следует переносить оставшиеся балансы на вновь созданные seed-фразы и отслеживать любые дальнейшие перемещения по адресам, связанным с логикой выявленных свипов.