Слив средств с кошелька Coldcard приближается к $114 млн, поскольку RBF позволяет перебивать ставки в mempool

В настоящее время идет четвертая «свайп/сweep» холодкошелька Coldcard. Исследователи оценивают, что атакующий с 30 июля переместил примерно 1 816 BTC (≈114 млн долларов) с 5 200+ адресов, и активность продолжается. Ключевое изменение в том, что атакующий, похоже, использует замену комиссии (Replace-by-Fee, RBF) в сети Bitcoin. Поскольку RBF может дольше удерживать транзакции в mempool, жертвы могут успеть обогнать злоумышленника, повысив комиссии и отправив транзакции первыми — это создает «гонку» на коротком горизонте в порядке подтверждения/обработки транзакций. Ранние волны тоже подтверждаются по таймлайну: 1 083 BTC через 1 196 адресов за 41 минуту 30 июля, затем «свайпы» в выходные, из‑за которых наблюдаемые потери достигли 1 367 BTC на 4 585 адресов. Последняя кластеризация видна в блоках около 960 778–960 792, при более высокой скорости «свайпа», чем в контрольном окне до инцидента. Атрибуция указывает на проблему во встроенном ПО Coldcard в марте 2021 года: генерация сид-фразы (seed) перенаправлялась в предсказуемый программный рандомизатор вместо аппаратного рандомизатора чипа. Coinkite выпустила экстренную прошивку для затронутых моделей (Mk3/Mk4/Mk5/Q) и советует пользователям перевести средства на адреса, сгенерированные новой прошивкой, поскольку ранее сгенерированные сиды могут оставаться уязвимыми. Для трейдеров следите за всплесками комиссий RBF в mempool и возможными последующими притоками BTC на биржи, если жертвы поспешат перезайти/перераспределить средства. Это может добавить краткосрочную волатильность потокам BTC, но, как ожидается, не повлияет на долгосрочные фундаментальные факторы. (Ключевое слово: «Coldcard wallet sweep» появляется в заголовке и упоминается в тексте несколько раз.)