Кошельки Coldcard: злоумышленники вывели $114 млн через уязвимость прошивки

Главным событием недели на рынке стала не цена Bitcoin, а безопасность: кошельки Coldcard оказались в центре крупной атаки, из-за которой с более чем 5200 адресов вывели около 1816 BTC, или примерно $114 млн. Проблема тянулась с 2021 года, атаки шли волнами с 30 июля и к концу отчетного периода еще не были полностью остановлены.

Для рынка удар оказался болезненным, но не обвальным. Совокупная капитализация криптовалют снизилась с $2201 млрд до $2188 млрд, то есть на 0,58% за семь дней. Bitcoin потерял 0,84%, Ethereum снизился сильнее, а единственной монетой из первой пятерки, завершившей период в плюсе, стала BNB. Неделя вместила сразу несколько сильных факторов: крупнейший сбой в самостоятельном хранении, продажу BTC со стороны крупного корпоративного держателя и жесткий сигнал ФРС, но резкого панического дня рынок так и не увидел.

Рынок замер, хотя поводов для страха хватало

Спокойствие было заметно не только по графикам. Индекс подразумеваемой волатильности Bitcoin BVIV опустился до 36%, минимального уровня с 31 мая. В начале июня он держался около 60%. Иными словами, спрос на защиту от падения резко ослаб именно тогда, когда новостной фон стал заметно тревожнее.

Bitcoin всю неделю двигался в коридоре от $62360 до $65189. Индекс страха и жадности снизился с 29 до 27 пунктов и остался в зоне страха. Такая картина допускает две трактовки: с одной стороны, рынок показал устойчивость к плохим новостям; с другой — волатильность редко надолго задерживается у исторически низких значений.

Давление шло и со стороны центробанков. 29 июля ФРС в пятый раз подряд оставила ставку в диапазоне 3,50-3,75%. При этом трое несогласных выступили не за снижение, а за повышение ставки. На пресс-конференции председатель ФРС Кевин Уорш дал понять, что регулятор не готов смягчать позицию.

Рынок облигаций отреагировал ростом доходностей по всей кривой. Тридцатилетние бумаги приблизились к максимумам с 2007 года, а вероятность повышения ставки в сентябре оценивалась примерно в 57%. Для Cryptocurrency это двойственный сигнал: в долгосрочной перспективе ограниченное предложение Bitcoin выглядит сильным аргументом, но в моменте высокие реальные ставки делают облигации более привлекательными для капитала.

Валюты, стейблкоины и ликвидность

Дополнительную нервозность принес валютный рынок. 3 августа Япония и США подтвердили редкую совместную интервенцию в поддержку иены — первую скоординированную операцию такого масштаба с 2011 года. По оценкам, власти Японии могли направить на покупку национальной валюты до $36,58 млрд.

Криптоинвесторы быстро вспомнили август 2024 года, когда разворот иенового кэрри-трейда ударил по рисковым активам. Прямой зависимости здесь нет: 52-недельная корреляция Bitcoin с парой доллар/иена держится около -0,90. Для крипторынка опаснее не слабая иена, а сильный доллар. На этот раз геополитический фон, наоборот, помог рисковым активам: сигналы деэскалации вокруг Ирана поддержали аппетит к риску.

Гораздо важнее выглядела динамика ликвидности. Капитализация Tether снизилась до $183 млрд против почти $190 млрд в апреле, а USDC просел до $72 млрд. Сокращение стейблкоинов обычно читается просто: свободных денег для покупок меньше, глубина рынка тоньше, готовность рисковать слабее.

При этом ончейн-данные выглядели лучше. Glassnode зафиксировал рост активных адресов и объемов переводов выше верхних статистических границ. Соотношение предложения у краткосрочных и долгосрочных держателей осталось около исторических минимумов. Долгосрочные инвесторы не спешили уходить, но доля монет в прибыли подошла к циклическому дну, поэтому продажи все чаще выглядели как фиксация убытков, а не прибыли.

Как уязвимость Coldcard превратилась в крупную атаку

Инцидент с Coldcard не был классическим взломом, при котором атакующему нужно физически получить устройство. Ошибка появилась в сборке прошивки от марта 2021 года: генерация сид-фразы была направлена на программный генератор псевдослучайных чисел вместо аппаратного. Из-за этого ключи можно было восстановить офлайн, перебрав ограниченный диапазон.

По сути, сбой затронул базовый принцип, на котором держится любой Cryptocurrency wallet: надежная энтропия, корректный Seed и безопасная Phrase. В нормальной архитектуре Computer hardware, Firmware и Software должны работать вместе так, чтобы приватный ключ нельзя было предсказать. Здесь же слабым звеном стала именно прошивка.

Первая волна 30 июля заняла всего 25 минут и принесла атакующим 594 BTC. Затем атака усилилась: ко 2 августа три волны опустошили 4585 адресов, а на следующий день исследователи зафиксировали четвертую. По оценке Galaxy Research, в схему включились не менее 15 независимых атакующих, а общие потери могли достичь 2055 BTC, или около $130 млн. В среднем похищенные монеты лежали без движения 3,18 года.

Coinkite выпустила срочную прошивку для всех затронутых моделей и 4 августа обратилась к владельцам напрямую. Это стало главным публичным ответом производителя: быстро закрыть уязвимость обновлением и донести предупреждение до тех, кто мог годами не трогать устройство. Под угрозой оставались Mk3 на прошивке 4.0.1 и новее, а также Mk4, Mk5 и Q на старых версиях. Кошельки, созданные через вариант с броском игральных костей, не использовали проблемный код и не пострадали.

Что важно знать о Coldcard

Coldcard — специализированный аппаратный кошелек для Bitcoin, а не универсальное мультивалютное устройство. Его ценят за модель самостоятельного хранения: приватные ключи остаются на устройстве, а работа может строиться без постоянного подключения к интернету, в том числе через перенос данных на SD card.

Сильные стороны Coldcard — фокус на Bitcoin, изоляция ключей, аппаратная генерация энтропии и дополнительные защитные режимы. Среди них Duress PIN для сценариев давления на владельца, Brick PIN для блокировки устройства и BIP39 Passphrase как дополнительный слой защиты к сид-фразе. Слабая сторона — высокий порог входа: новичку нужно внимательно разбираться с прошивкой, резервной копией, PIN и порядком подписания транзакций.

В линейке упоминаются Mk3, Mk4, Mk5 и Q. После атаки стало ясно, что важна не только модель, но и версия прошивки: именно старые версии на отдельных устройствах оставались в зоне риска. Перед первым использованием безопасный порядок выглядит так: проверить устройство и прошивку, создать кошелек, записать сид-фразу офлайн, сохранить резервную копию, настроить PIN и только потом переводить значимую сумму.

Отдельного мобильного сценария уровня обычного биржевого приложения у Coldcard нет: устройство используют вместе с совместимыми кошельками и программами для подготовки и подписания транзакций. Такой подход дает больше контроля, но требует аккуратности от владельца.

После атаки спор о самостоятельном хранении вспыхнул с новой силой. Венсан Бузон, директор по безопасности продукта Ledger, сформулировал главный урок так:

Техническая дискуссия вышла далеко за рамки одной ошибки. Участники рынка снова заговорили о целой цепочке рисков, которые владельцу аппаратного кошелька приходится держать в голове:

• Риски цепочки поставок.
• Фишинг.
• Обновления прошивки.
• Загрузка устройства (Booting).
• Работа через USB.
• Использование SD card.
• Надежность печатных плат и контроллеров уровня Microchip Technology.
• Сценарии давления на владельца (Coercion).
• Атаки класса Evil maid attack, когда устройство могут подменить или изменить без ведома пользователя.

В таких системах даже PIN не спасает, если исходная сид-фраза предсказуема.

Тема Computer security стала центральной: самостоятельное хранение не исчезает как идея, но его риск оказался сложнее, чем многие привыкли думать. Передача монет на централизованную биржу тоже не равна владению — это скорее требование к посреднику. Но аппаратный кошелек, даже если на корпусе написано COLDCARD, не отменяет риски прошивки, поставки и человеческой ошибки.

Эрик Балчунас из Bloomberg Intelligence отметил, что спотовый фонд снимает с инвестора необходимость управлять сид-фразой, и усомнился, что небольшая команда Coldcard из пяти человек способна долго отражать все более сложные атаки. Рынок при этом не сорвался вниз: уже 4 августа Bitcoin поднялся к $64160.

Strategy продала BTC, а первый спотовый Bitcoin-ETF закрывается

Институциональная часть недели тоже дала рынку пищу для выводов. Strategy Майкла Сэйлора продала 1638 BTC на $104,73 млн. Это уже третья продажа компании в текущем году. Средняя цена сделки составила $63957, что заметно ниже средней цены покупки компании — $75419.

Вырученные средства направили на дивиденды и выкуп привилегированных акций STRC. Логику объяснила квартальная отчетность: убыток за второй квартал достиг $8,22 млрд из-за переоценки биткоин-позиции, хотя общий запас компании вырос до 843775 BTC. Денежный резерв достиг $3,75 млрд — примерно на 2,1 года дивидендных выплат. Правило «Никогда не продавать», на котором годами держалась премия в акциях MSTR, фактически ушло в прошлое.

Еще одним символичным событием стало решение Hashdex ликвидировать фонд DEFI. Это, судя по всему, первое закрытие американского спотового Bitcoin-ETF за всю историю сегмента. Под управлением фонда оставалось $14,7 млн, тогда как IBIT от BlackRock держал $47,08 млрд. Торги должны прекратиться 17 августа.

В целом сегмент собрал $51,5 млрд чистых притоков, но деньги концентрируются в двух-трех крупнейших продуктах. За неделю к 2 августа американские спотовые биткоин-фонды потеряли $61,53 млн. Внутри недели движения были резче: 30 июля пришло $233,1 млн, на следующий день ушло $265,4 млн, а 3 августа вернулось $170,1 млн.

Токенизация реальных активов набирает масштаб

Пока розничный интерес к криптофондам остывал, BlackRock усилил направление токенизации. 4 августа компания открыла токенизированный доступ к европейским фондам денежного рынка общим объемом $311 млрд. Для этого были выпущены 12 новых классов акций по шести фондам в 15 юрисдикциях.

Проект реализован совместно с JPMorgan на платформе Kinexys. Днем ранее BlackRock расширил похожее предложение в США. Рынок токенизированных реальных активов за год вырос более чем на 200% и превысил $30 млрд, а Citi ожидает, что к 2030 году сегмент может достичь $5,5 трлн.

Регулирование снова застряло

На регуляторном направлении прогресс замедлился. Закон CLARITY о структуре рынка цифровых активов прошел палату представителей, но остался в календаре сената без даты голосования. Каникулы начинаются 7 августа, и к 5 августа оценки шансов на принятие закона снизились примерно до 27%.

Задержка важна для всего рынка: CLARITY должен закрепить разграничение полномочий между SEC и CFTC. Насколько это нужно, показала та же неделя. SEC приостановила одобрение расчетных опционов на биткоин-индекс QBTC на Nasdaq PHLX после возражения CME Group, которая настаивает, что Bitcoin является товаром и должен находиться под надзором CFTC.

Пока США буксуют, другие юрисдикции двигаются вперед. 4 августа парламентарии ЮАР представили проект правил для трансграничных криптопереводов.

Альткоины: BNB выросла, Ethereum и XRP просели, Solana удержалась

По отдельным активам неделя получилась спокойной. Bitcoin завершил период на $63995, потеряв 0,84% и 0,15 процентного пункта доминирования. Ethereum снизился на 2,53%: притоки в фонды составили всего $27,4 млн и не смогли поддержать цену, как и корпоративные покупки.

Покупатели Ethereum все же остались активны. BitMine Immersion Technologies довела запас до 5,7978 млн ETH, или 4,8% обращающегося предложения, причем 87% этой суммы находится в стейкинге. Инфраструктура сети укрепилась: Base от Coinbase 4 августа обошел Solana по объему управляемого институционального капитала в DeFi, превысив $1,6 млрд. На Ethereum приходится 43,2% рынка токенизированного госдолга США.

BNB стала единственным активом из первой пятерки, закрывшим неделю в плюсе. Монета прибавила 4,4%. Поддержкой стал не столько спективный интерес, сколько реальная загрузка сети: на BNB Chain приходится около 40% мировых транзакций со стейблкоинами. Кроме того, BNB заняла второе место среди 18 активов нового индекса S&P Pantera.

XRP подешевел на 2,33%, хотя институциональный спрос шел в противоположную сторону. Спотовые фонды под токен за неделю привлекли $15 млн, а совокупный приток достиг примерно $775,5 млн. 4 августа обернутый XRP от Flare получил одобрение в кредитном пуле RLUSD на $280 млн.

Solana почти не изменилась, снизившись на 0,13%. 1 августа вышло обновление Agave 4.2, а валидаторы начали поддерживать предложение увеличить ежедневное сжигание SOL с $47000 до $650000. Институциональный канал остался открытым: спотовые фонды под SOL накопили $1,14 млрд чистых притоков, а Morgan Stanley вывел собственный продукт с комиссией 0,14% и вознаграждением за стейкинг.

Самым сильным активом недели стала Cardano: ее капитализация выросла на 24%. Но рост был узким. Число непустых кошельков ADA за два месяца сократилось на 7070, поэтому движение цены скорее обеспечили несколько крупных покупателей и рекордный открытый интерес к фьючерсам, а не возвращение массового спроса.

Динамика крупнейших криптовалют за неделю

• Актив: Bitcoin (BTC). Цена на 29 июля: $64538. Цена на 5 августа: $63995. Изменение: -0,84%.
• Актив: Ethereum (ETH). Цена на 29 июля: $1916. Цена на 5 августа: $1868. Изменение: -2,53%.
• Актив: Binance Coin (BNB). Цена на 29 июля: $571,25. Цена на 5 августа: $596,42. Изменение: +4,40%.
• Актив: Ripple (XRP). Цена на 29 июля: $1,09. Цена на 5 августа: $1,06. Изменение: -2,33%.
• Актив: Solana (SOL). Цена на 29 июля: $73,95. Цена на 5 августа: $73,86. Изменение: -0,13%.
• Актив: общая капитализация рынка. Значение на 29 июля: $2201 млрд. Значение на 5 августа: $2188 млрд. Изменение: -0,58%.

Что показала неделя

К концу семидневного периода капитализация крипторынка составила $2188 млрд, сократившись на $12,7 млрд. Устойчивость рынка выглядит двусмысленно: с одной стороны, база держателей стала заметно крепче; с другой — свежих денег недостаточно, чтобы уверенно развернуть цены вверх.

Главный риск на ближайшие дни — низкая волатильность. BVIV опустился к историческому полу, а с таких уровней индекс обычно выходит резким движением. Направление заранее не очевидно. Для Bitcoin ключевой отметкой остается $65189 — верхняя граница прошедшей недели. Еще один ориентир — судьба закона CLARITY, для которого 7 августа стало фактическим дедлайном перед каникулами сената.

Bitcoin (BTC)

На вечер 5 августа Bitcoin торговался около $63995 и потерял за неделю 0,84%. Из капитализации ушло примерно $10,67 млрд, а до уровня $1300 млрд монете осталось совсем немного. Доля Bitcoin на рынке снизилась на 0,15 процентного пункта, до 58,68%.

Опционный рынок выглядел показательнее самой цены. На Deribit активность сосредоточилась на путах со страйком $60000 и коллах на $70000 и $72000. Трейдеры фактически обозначили границы, за которыми движение может ускориться, но за неделю цена не подошла ни к одной из них.

Ethereum (ETH)

Доля Ethereum на рынке снизилась за неделю на 0,21 процентного пункта, до 10,30%. Цена опустилась до $1868, капитализация потеряла около $5,93 млрд. При этом фундаментальная картина выглядела сильнее котировок: BitMine Immersion Technologies добавила 10399 ETH и почти вышла на 5% всего предложения.

Аналитики сохранили осторожность. TD Cowen снизил целевую цену акций SharpLink до $13, пересмотрев прогноз по Ethereum на 2026 год, но подтвердил долгосрочно позитивный взгляд на сеть. Институциональный интерес все больше смещается от самой цены токена к инфраструктуре вокруг него.

Binance Coin (BNB)

BNB завершила неделю на $596,42 и стала единственной монетой из первой пятерки с ростом. Капитализация прибавила около $3,28 млрд, а доля монеты поднялась до 3,63%.

Рост опирался на реальную активность BNB Chain, через которую проходит около 40% мировых переводов в стейблкоинах. Параллельно сеть развивает стандарты для ИИ-агентов — идентификацию, платежи и ответственность автономных программ. Для актива, ценность которого долго связывали в первую очередь с биржевой активностью, это заметный сдвиг.

Ripple (XRP)

XRP торговался по $1,06 и потерял за неделю 2,33%. Капитализация сократилась примерно на $1,70 млрд, а рыночная доля снизилась до 3,03%. При этом фонды под токен продолжали собирать активы.

Разработчики предложили обновление xrpld v3.3.0 с приватными балансами токенов, пакетными транзакциями и спонсируемыми комиссиями, когда сбор за перевод оплачивает третья сторона. Для банков это важная опция: она снимает необходимость держать запас XRP только ради оплаты сетевых комиссий.

Solana (SOL)

Solana снизилась всего на 0,13%, до $73,86, но ее рыночная доля выросла на 0,01 процентного пункта, до 1,96%. Капитализация уменьшилась лишь на $0,03 млрд, тогда как остальной рынок просел заметнее.

Сеть продолжила расширять внешние партнерства. MoneyGram стала валидатором Solana, а Solana Pay запустила пилот с корейским процессингом KSNET. Такие интеграции дают сети платежный поток, который меньше зависит от спекулятивного цикла.