Производитель аппаратных криптокошельков Coinkite выпустил срочное предупреждение для пользователей модели Coldcard Mk3. В официальном уведомлении от 30 июля 2026 года компания сообщила, что начальные фразы (seed), созданные на устройствах с прошивкой версии 4.0.1 (март 2021 года) и всеми последующими вплоть до 5.0.3, могут быть скомпрометированы. «Из соображений максимальной осторожности Coinkite предупреждает всех пользователей, сгенерировавших seed на Mk3 с версией 4.0.1 или более поздней, что их средства могут находиться под угрозой», — говорится в заявлении.
Модели Mk4, Q и Mk5, согласно предварительному анализу, не затронуты. Однако использование BIP-39 пароля лишь ограничивает, но не устраняет риск.
Тревожный сигнал совпал с обнаружением крупной кражи. По данным Atlas 21, примерно 594,5 BTC (около $38,3 млн) были выведены с 500 адресов с одинарной подписью в ходе скоординированной серии транзакций в блоках Bitcoin с 960188 по 960191. Разработчик Bitcoin Джеймс О'Бирн отметил, что пользователи, чьи биткоины защищены единственным ключом, созданным на Coldcard Mk3 в период с 2021 по 2023 год без использования игральных костей, парольной фразы или мультиподписи, должны немедленно переместить средства. О'Бирн также предположил, что модели Mk2 и Mk4 тоже могут быть уязвимы.
Представитель инженерной команды Block Клэй Гаррет выявил дополнительную цепочку из 695 более ранних транзакций с тем же цифровым отпечатком, переместивших еще 488,11 BTC. Если эти переводы — часть той же атаки, общий ущерб может превысить 1 082,59 BTC.
Прямая связь между кражей и дефектом генерации seed пока не подтверждена. Специалисты указывают на возможную слабую энтропию (недостаточную случайность) при создании ключей. Генеральный директор Wizardsardine Кевин Лоэк назвал низкую случайность своей рабочей гипотезой, но точная причина — сбой библиотеки, чипа или конкретной партии устройств — не установлена.
Coinkite рекомендует владельцам Mk3 создать новый seed на незатронутой модели (Mk4, Q, Mk5) и перенести активы спокойно, без спешки, предварительно проверив адрес тестовой транзакцией. Для тех, у кого нет другого устройства, временным решением может стать сильная уникальная BIP-39 парольная фраза или генерация seed исключительно бросками игральной кости (не менее 99 независимых бросков) на пустом Mk3 с прошивкой 4.1.9. Компания продолжает расследование и обещает опубликовать технический отчет позже.
