Крипторынок вновь оказался в центре двух резонансных историй: продолжается спор вокруг эксплуатации аппаратного кошелька Coldcard, а аналитики Elliptic показали, как украденный NEAR маскировали под прибыльную торговлю мем-токенами.
Спор вокруг Coldcard. Генеральный директор Coinkite NVK 9 ноября в соцсети X заявил, что до обнаружения дефекта генерации seed с проектом соприкасались не менее 15 внешних проверок или исследовательских работ. По его словам, были проведены два платных сторонних обзора — Mk4 в 2022 году и Q в 2024 году, а инструмент OpenAI Cybersecurity Harness Роба Хэма сформировал 85 кандидатных находок, но не выявил проблему генерации seed. «Неудобная правда заключается в том, что потребовалась новая ИИ-модель, чтобы найти то, что не смогли люди», — написал NVK.
Часть сообщества это оспаривает. Разработчик Bitcoin Люк Дэшджр сообщил, что ранее в частном порядке делился с Coinkite находками, и назвал утверждение о неспособности людей найти проблему ложным. Джеймс О’Бирн заявил, что еще в мае 2025 года начал изучать прошивку Coldcard, указывал на библиотеку libngu, жестко заданные константы в программном резерве и рекомендовал использовать libsecp256k1 напрямую. По его словам, компания тогда сочла конфигурацию корректной. О’Бирн также сообщил о втором независимом свидетельстве предупреждения от 2021 года, предположив, что Coinkite могли предупреждать независимо трижды. Алекс Вальц обвинил компанию в discouraging независимого изучения кода, а разработчик под ником Kenneth отметил, что разовая проверка всей кодовой базы не заменяет встроенный контроль качества на каждом этапе.
Масштаб взлома Coldcard. По оценке TRM Labs от 5 августа, с более чем 5200 адресов было похищено примерно 1816 BTC в четыре волны начиная с 30 июля; сумма оценивалась в $116 млн. Уязвимость восходит к ошибке конфигурации сборки в марте 2021 года, из-за которой выбирался слабый программный генератор случайных чисел: эффективная энтропия seed на старых устройствах снижалась до 40 бит вместо задуманных 128. Аналитики Galaxy Research зафиксировали, что один из атакующих третьей волны обменял около 10% украденного биткоина на Ether через THORChain. Информация о возможной личности атакующего могла быть передана правоохранительным органам, однако подтвержденного опознания ФБР нет.
Coinkite на странице безопасности называет опубликованную хронику «живым постмортемом», а отдельный подробный технический отчёт по-прежнему готовится. Компания рекомендует прошивки 5.6.3 для Mk4/Mk5 и 1.5.3Q для Q, но подчеркивает, что обновление прошивки не может исправить уже существующие скомпрометированные seed. Пользователям предписано создать новый seed, проверить резервную копию и адрес получения, отправить тестовый перевод и только затем переместить оставшиеся средства.
Схема с мем-токенами на NEAR. Elliptic 9 ноября проследила маршрут украденных средств через шесть токенов на NEAR. Каждый токен был создан в отдельном пуле на децентрализованной бирже в паре с NEAR и стоил около 25 NEAR, или примерно $90. В сеть поступило около 117 000 NEAR, почти столько же затем покинуло её; на внешних покупателей пришлось менее 1% объёма токена FUK. По данным Elliptic, около 11,8 млн украденных NEAR стоимостью примерно $43,7 млн оставались без движения на момент публикации.
Аналитики выделили три признака: кошельки «отмывочной сети» продавали все шесть токенов и скупали пять из них; пять создателей финансировались кошельком, который продавал предыдущий токен за 2–13 минут до нового запуска; каждый токен впервые продавался в течение трёх часов после запуска, а с 8 ноября торговля не зафиксирована. Создатели четырёх токенов вывели оставшуюся ликвидность. Внешне это походило на обычную торговлю мем-токенами, но украденный NEAR не переходил напрямую между покупателями и продавцами — между ними стоял пул собственного токена. По оценке Elliptic, волна обошлась примерно в $540 комиссий за создание и сетевых расходов, а целью была не маскировка, а задержка расследования.
Elliptic напоминает, что та же техника использовалась при отмывании $24 млн через малоценный токен TRON после кражи Bybit в 2025 году. В деле Binance с кошельков 29 октября ушло около $6,4 млрд, а ФБР через два дня связало атаку с северокорейской группой TraderTraitor. Фирма советует биржам не считать средства из пулов ликвидности «чистыми» по умолчанию и перепроверять депозиты по мере обновления блок-листа.
