Производители аппаратных криптокошельков Trezor и Foundation предупредили пользователей о фишинговых атаках на фоне инцидента с Coldcard.
Following the Coldcard vulnerability disclosure, we're already seeing an increase in phishing attempts.Stay alert for scams ⚠️• Never share your wallet backup, aka recovery seed (12/20/24 words)• Only enter your wallet backup directly on your Trezor device during recovery…— Trezor (@Trezor) August 4, 2026
В Trezor заявили, что после раскрытия уязвимости Coldcard фиксирует рост фишинговых попыток. Компания напомнила, что резервную копию кошелька нужно вводить только на самом устройстве, а не на сайте, в приложении или по инструкции из незапрошенного сообщения.
«Trezor никогда не свяжется с вами с просьбой предоставить резервную копию кошелька», — говорится в предупреждении.
Представители Foundation сообщили, что мошенники рассылают письма от имени компаании. В них пользователей пытаются заставить перейти на поддельные сайты или скачать вредоносное ПО.
🚨 Phishing Alert 🚨We’ve been made aware of phishing emails impersonating Foundation following the recent Coldcard security incident.These emails attempt to trick users into downloading malicious software or visiting fake websites.Please remember:⁰• Never download… pic.twitter.com/5zzblHuSj2— FOUNDATION (@FoundationHQ) August 2, 2026
«Foundation никогда не напишет вам первой в личные сообщения, не попросит раскрыть фразу восстановления и не потребует установить неизвестное ПО для “защиты” кошелька», — заявила компания.
Как устроена схема
Специалисты Proofpoint описали фишинговую кампанию против владельцев Coldcard. Мошенники рассылают письма якобы от имени производителя и предлагают пройти «аудит оборудования».
A COLDCARD hardware wallet vulnerability is being exploited by threat actors.The reported firmware flaw has led to tens of millions worth of Bitcoin stolen.We've observed social engineering w/ “hardware audit” themes impersonating #COLDCARD in email-based phishing campaigns. pic.twitter.com/1KSfZW3H2N— Threat Insight (@threatinsight) August 3, 2026
Ссылка ведет на копию сайта фирмы с кнопкой Start Hardware Audit. После нажатия пользователь загружает файл с GitHub, который устанавливает ScreenConnect — легитимный инструмент удаленного доступа.
По оценке Proofpoint, это может дать атакующим возможность получить доступ к данным, украсть средства или установить дополнительное вредоносное ПО, включая программы-вымогатели. Компания также утверждает, что на поддельном сайте работает чат поддержки: с жертвами общается человек, который помогает пройти установку и усиливает доверие к схеме.
Что произошло с Coldcard
Фишинговая волна наложилась на уже раскрытую уязвимость Coldcard. Она связана с ошибкой в генерации сид-фраз: устройство использовало детерминированный программный генератор псевдослучайных чисел вместо аппаратного генератора случайности.
Специалисты компании Block указали, что проблема возникла из-за ошибки интеграции RNG в прошивке. По их оценкам, для Mk2 и Mk3 на уязвимой ветке прошивки не добавлялась криптографическая энтропия, а для Mk4, Mk5 и Coldcard Q использовалась ограниченная добавка. Это не означало мгновенный доступ к кошельку, но могло позволить атакующим перебирать кандидатные сид-фразы офлайн и сверять полученные адреса с публичными данными блокчейна.
Coinkite признала проблему и выпустила исправленные версии прошивки для затронутых моделей. Компания подчеркнула, что обновление не меняет уже созданную сид-фразу: пользователям нужно сгенерировать новую и перенести средства.
По данным Galaxy Research, подтвержденные потери по трем волнам атак и 14 менее крупным инцидентам составили 1596 BTC примерно с 7300 адресов. Исследователи также выявили возможную четвертую волну. Если она подтвердится, общий ущерб может вырасти до 2055 BTC, или примерно $130 млн.
🚨LOSSES FROM COLDCARD HACK EXCEED $100M High confidence 1,596 BTC has been stolen from ~7300 addresses across 3 confirmed waves + more 14 smaller incidents. If we add suspected (but unconfirmed), the total balloons to $130m (2k BTC).More in the thread below 👇 pic.twitter.com/RAl3ib67qa— Galaxy Research (@glxyresearch) August 3, 2026
Coinkite рекомендовала владельцам кошельков с сид-фразами, созданными на уязвимых версиях прошивки, обновить устройство, создать новую сид-фразу и перевести средства на новый адрес. Простая установка новой прошивки старую сид-фразу не защищает.
4 августа команда Coldcard со ссылкой на Galaxy Research предупредила, что как минимум 15 разных злоумышленников эксплуатируют уязвимость, и новые кластеры краж продолжают выявляться.
COLDCARD HACK FALLOUT WORSENS AS BITCOIN RED TEAM FINDS CRITICAL BUGS ACROSS ECOSYSTEM@glxyresearch estimates at least 15 different attackers are now exploiting the COLDCARD vulnerability, with new theft clusters still being identified.If your funds were stolen, report it to…— Bitcoin News (@BitcoinNewsCom) August 4, 2026
«Даже небольшие сообщения о жертвах помогают выявлять новых злоумышленников. Один репорт о краже менее 1 BTC позволил исследователям раскрыть ранее неизвестную атаку, в результате которой со 126 адресов было выведено 12 BTC», — говорится в посте.
Напомним, 2 августа аналитики Glassnode пришли к выводу, что после сообщений об уязвимости холодных кошельков сеть первой криптовалюты показала аномальную активность сразу по нескольким показателям. Держатели при этом отправляли средства на новые адреса, а не на торговые платформы.
О том, почему инцидент с Coldcard бьет по биткоин-индустрии сильнее любого взлома биржи, читайте в материале ForkLog.
https://forklog.com/exclusive/285559-2
