Взлом X-аккаунта Coldcard: фейковое обновление прошивки

Коротко: Рано утром в воскресенье, 11 октября 2026 года, официальный X-аккаунт Coldcard — биткоин-кошелька от компании Coinkite — опубликовал фальшивое предупреждение о «критической уязвимости прошивки» и призвал владельцев перевести средства через сайт-двойник. Пост удалили; Coldcard заявляет, что её логины и офлайн-двухфакторка не скомпрометированы, и подозревает доступ на уровне самой X. Новой уязвимости нет: мошенники скопировали реальную проблему с генерацией сидов, раскрытую в июле 2026 года, и рискуют только те, кто ввёл на фейковом сайте свою сид-фразу.

Что произошло с X-аккаунтом Coldcard?

По данным Crypto Briefing, пост появился около 02:00 UTC 11 октября и был оформлен как срочное уведомление о безопасности. В нём говорилось, что свежие прошивки генерируют слабые сиды на моделях Mk4, Mk5 и Q, а читателям предлагалось «мигрировать» средства через сайт, который Crypto Briefing называет как migrate.coldcardwallet.io. Единственный официальный сайт Coldcard — coldcard.com.

Как отмечает U.Today, пост выглядел убедительно не случайно: в нём были перечислены те же исправленные версии прошивки, которые Coinkite действительно выпустила летом, — 4.2.0 для Mk3, 5.6.0 для Mk4/Mk5 и 1.5.0Q для Q, — а сама «миграция» повторяла реальную процедуру, через которую владельцев уже проводили. Пост удалён, компания попросила не переходить по ссылке и никак с ней не взаимодействовать. На момент публикации подтверждённых потерь от этого инцидента не зафиксировано.

Взломали ли саму Coldcard?

В компании говорят, что нет. По её словам, аккаунт с 2017 года защищён офлайн-двухфакторной аутентификацией и строго ограниченным доступом, а внутренняя проверка не нашла ни одной записи о входе, сессии или доступе, совпадающей по времени с фишинговым постом. Coldcard попросила X срочно провести расследование и сохранить логи, а также пересматривает все права доступа к аккаунту.

Компания допускает компрометацию на уровне платформы или злоупотребление административным доступом внутри X, а не кражу собственных учётных данных. В ряде публикаций упоминаются объявления о продаже админского доступа к X на теневых площадках, но Coldcard подчёркивает, что не может подтвердить какую-либо связь, а X публично о взломе не сообщала. Пока нет официального вывода, точная причина остаётся неизвестной.

Ключевые факты

Что было в июле и почему «снова»?

Слово «снова» в заголовках отсылает к куда более серьёзной летней истории. В июле 2026 года Coldcard признала, что часть прошивок при создании сидов не использовала положенный аппаратный источник случайности. Злоумышленники смогли воссоздать слабые ключи офлайн и опустошить кошельки; удалённо сами устройства никто не взламывал. На странице статуса безопасности Coldcard указано, что сильнее всего пострадала старая ветка Mk2/Mk3, но предупреждение распространяется и на сиды, созданные на Mk4, Mk5 и Q до исправленных версий.

Оценки ущерба расходятся. Galaxy Digital (по данным Cointelegraph) насчитала не менее $100 млн, украденных примерно с 7300 кошельков в трёх подтверждённых волнах, а с возможной четвёртой волной сумма приближается к $130 млн; DefiLlama оценивает потери примерно в $115 млн, другие трекеры говорят о 1700–1800 BTC. Важная деталь: обновление прошивки не исправляет сид, уже созданный с ошибкой, — владельцам пришлось генерировать новый сид и вручную переводить монеты. Именно эту настоящую «миграцию» и подделали в октябре.

Самозванцы кружили вокруг бренда несколько недель. Crypto.news ссылается на исследование Unclone от 5 августа: за пять дней после июльского раскрытия было зарегистрировано десять доменов-двойников, а из 97 аккаунтов с символикой Coldcard или Coinkite 34 выдавали себя за поддержку. Схема та же, что и после других инцидентов — на этой неделе Ledger тоже предупреждал покупателей устройств у реселлера CryptoBilis из Юго-Восточной Азии: мошенники пользуются реальными плохими новостями, потому что напуганный человек действует быстро.

Как распознать фейковое обновление прошивки или «миграцию»

• Сайт просит сид-фразу. Ни одному производителю аппаратных кошельков не нужно, чтобы вы вводили свои 12 или 24 слова в браузер, приложение или чат поддержки. Одно это правило отсекает почти все варианты схемы.
• Срочность плюс ссылка. «Немедленно переведите средства» вместе с кликабельной ссылкой — классический шаблон. Настоящее уведомление объясняет суть проблемы и ведёт на основной домен производителя, а не на новый поддомен или похожее имя.
• Домен «почти правильный». Лишние слова вроде migrate, wallet, support, secure или другая доменная зона — тревожный знак. Набирайте официальный адрес сами или пользуйтесь закладкой.
• Официальный аккаунт — не гарантия. Как показал этот случай, даже верифицированный аккаунт с многолетней историей может опубликовать вредоносный пост. Перепроверяйте на сайте производителя и его странице безопасности.
• Прошивка — это файл с подписью. Настоящее обновление скачивается с официального сайта и проверяется (у Coldcard — по хешу SHA-256 и подписанному файлу signatures). Оно никогда не сопровождается просьбой отправить монеты на новый адрес из поста.

Что делать: практический чек-лист

1. Если открыли ссылку, но ничего не вводили, закройте страницу: сам по себе визит не опасен, но очистите данные браузера и будьте настороже — за фишингом часто следуют «письма поддержки».
2. Если ввели сид-фразу, считайте кошелёк скомпрометированным: на доверенном устройстве создайте новый сид и сразу переведите средства, пока этого не сделал злоумышленник. Пасфраза, которую вы не вводили на сайте, может дать время, но полагаться на неё не стоит.
3. Отдельно проверьте июльский риск. Если сид Coldcard создан до исправленной прошивки, следуйте официальному руководству на coldcard.com/security, а не ссылкам из соцсетей.
4. Проверяйте любое предупреждение на сайте производителя и игнорируйте личные сообщения от «поддержки» — настоящая поддержка первой не пишет. Подробнее о хранении сида и пасфразах — в материале о безопасности некастодиальных кошельков.
5. При переводе остерегайтесь подмены адреса. Копируйте адрес назначения из своего кошелька и сверяйте каждый символ; см. материал об отравлении адресов и фишинге подписей.
6. Если при переезде нужно обменять монеты, пользуйтесь сервисами, которые проверили сами. Список обменников на changerella.com помогает сравнить курсы и условия, а Changerella App позволяет обменять без регистрации и получить монеты сразу на новый адрес, которым управляете вы. Признаки недобросовестных сервисов — в гиде как не попасться на мошенников при обмене криптовалюты.

Частые вопросы