Stan na 1 sierpnia 2026 roku. Sprawa jest rozwojowa.
Ponad tysiąc Bitcoinów wartych około 70 mln dolarów zniknęło 30 lipca 2026 roku z blisko 1200 adresów w ciągu czterdziestu minut. Właściciele nie kliknęli w podejrzany link, nie zgubili urządzeń i nikomu nie podali frazy odzyskiwania. Zawinił błąd w oprogramowaniu portfeli sprzętowych Coldcard kanadyjskiej firmy Coinkite, przez który od marca 2021 roku klucze prywatne tworzone na tych urządzeniach dawały się odgadnąć na zwykłym komputerze.
Pierwsze szacunki mówiły o 594 Bitcoinach, czyli mniej więcej 38 mln dolarów, wyprowadzonych z około 500 portfeli jednopodpisowych w dwadzieścia pięć minut. Blisko 562 BTC atakujący zebrał na jednym adresie i do soboty tych środków nie ruszył. Rozszerzona analiza on-chain, którą prowadzą zespoły Block oraz Galaxy Research, powiązała z tą samą kampanią kolejne setki transakcji o identycznym śladzie: ta sama stawka opłaty, brak wyjścia z resztą, ten sam schemat czasowy. Stąd wyższa liczba. Chainalysis obserwuje adresy konsolidacyjne i ostrzega, że kolejne portfele mogą zostać opróżnione.
Najważniejsze fakty
- 30 lipca 2026 roku nieznany sprawca opróżnił co najmniej 500 portfeli Coldcard, wyprowadzając 594 BTC (około 38 mln dolarów). Poszerzona analiza wskazuje na 1196 adresów i 1082 BTC, czyli blisko 70 mln dolarów.
- Przyczyną jest błąd w firmware wprowadzony w marcu 2021 roku wraz z wersją 4.0.0.
- Urządzenia przy tworzeniu frazy odzyskiwania zamiast sprzętowego generatora losowego używały programowego zamiennika zasilanego numerem seryjnym układu i odczytami zegara.
- Efektywna siła klucza spadła ze 128 bitów do około 40 bitów w modelu Mk3 i około 72 bitów w modelach Mk4, Mk5 oraz Q.
- Podatne wersje: Mk3 od 4.0.1 do 4.1.9, Mk4 i Mk5 poniżej 5.6.0 (Edge poniżej 6.6.0X), Q poniżej 1.5.0Q (Edge poniżej 6.6.0QX).
- Aktualizacja firmware nie naprawia frazy, która już powstała. Trzeba wygenerować nową i przenieść środki.
- Fraza przeniesiona z Coldcarda na Trezora, Ledgera czy dowolne inne urządzenie pozostaje podatna, bo słabość tkwi w samych słowach, a nie w sprzęcie.
Losowanie, które nie było losowe
Fraza odzyskiwania, zwana też frazą seed, to dwanaście lub dwadzieścia cztery słowa wylosowane z puli tak ogromnej, że zgadywanie nie ma sensu ani ekonomicznego, ani fizycznego. Cała ochrona portfela sprzętowego opiera się na tym, że losowanie jest prawdziwe. Dlatego takie urządzenia mają osobny układ, który czerpie losowość ze zjawisk fizycznych, a nie z kodu.
Coldcard taki układ ma i nadal go używał, tylko nie tam, gdzie trzeba. W marcu 2021 roku Coinkite przeniosło operacje kryptograficzne na bibliotekę libsecp256k1 znaną z Bitcoin Core i dołożyło do tego bibliotekę libNgU. Przy okazji generowanie frazy przestało sięgać do sprzętowego generatora, a zaczęło do programowego zamiennika z MicroPythona. Winna była jedna linijka warunku w preprocesorze, która sprawdzała, czy dana opcja jest zdefiniowana, zamiast sprawdzić jej wartość. Opcję ustawiono na zero, kompilacja przeszła bez ostrzeżenia, a urządzenie zaczęło losować na podstawie identyfikatora procesora i stanu zegara.
Wygląda to na drobiazg, dopóki nie zajrzy się w liczby. Numer układu jest stały przez całe życie procesora. Licznik systemowy przyjmuje najwyżej kilkadziesiąt tysięcy wartości. Rejestry czasu rzeczywistego są ze sobą powiązane, a przy zimnym starcie potrafią być zerowe. Napastnik, który zmierzy te parametry na własnym egzemplarzu tego samego modelu, zawęża pulę kandydatów do zakresu, który przelicza się na sprzęcie ze sklepu. Adres albo klucz publiczny portfela służy przy tym za sprawdzian: generujesz kolejne frazy, wyliczasz adresy i zatrzymujesz się, gdy trafisz na taki, na którym leżą środki.
Sam Coinkite w technicznym opisie błędu przyznaje, że kod był publiczny od lat i że firma zakłada, iż ktoś przejrzał starsze wersje firmware przy pomocy modelu sztucznej inteligencji. Kilka tygodni wcześniej producent zlecił własny przegląd bezpieczeństwa jednemu z czołowych modeli i ten niczego nie wykrył. Inżynierowie Block, którzy opublikowali niezależną analizę techniczną, ustalili dodatkowo, że atakujący korzystał z płatnego konta u dostawcy danych blockchainowych, a logi tego dostawcy zgadzają się co do liczby, kolejności i czasu zapytań.
Kto powinien działać już dziś
Zagrożona jest fraza wygenerowana na urządzeniu, a nie zaimportowana z zewnątrz. Dotyczy to modelu Mk3 z firmware od 4.0.1 do 4.1.9 oraz modeli Mk4, Mk5 i Q sprzed poprawionych wydań, czyli odpowiednio 5.6.0 i 1.5.0Q na ścieżce standardowej oraz 6.6.0X i 6.6.0QX na ścieżce Edge. Coinkite udostępniło poprawki dla wszystkich modeli 31 lipca. Aktualizacja naprawia losowanie na przyszłość, ale istniejącej frazy nie uleczy.
Producent wskazuje dwa wyjątki. Pierwszy to co najmniej pięćdziesiąt niezależnych, prywatnych rzutów kostką dodanych przy tworzeniu frazy, bo urządzenie mieszało je z własną losowością. Drugi to mocne, unikalne hasło BIP-39, które tworzy odrębny portfel, choć Coinkite i tak zaleca migrację. Krótkie, cytowane albo powtórzone gdzie indziej hasło niczego nie załatwia. Nie pomaga też przepisanie tej samej frazy na inne urządzenie, bo klucz pozostaje ten sam. W układzie wielopodpisowym złożonym wyłącznie z podatnych Coldcardów ochrona również znika, potrzebne jest kworum urządzeń spoza tej grupy. Kart TAPSIGNER i SATSCARD oraz pendrive’ów OPENDIME sprawa nie dotyczy, bo mają inny kod.
Migracja wygląda tak samo w każdym scenariuszu. Najpierw aktualizacja firmware, potem wygenerowanie nowej frazy i spisanie kopii zapasowej, następnie sprawdzenie odcisku portfela oraz adresu odbiorczego na ekranie urządzenia, dalej mała transakcja testowa. Dopiero po jej potwierdzeniu przenosi się resztę środków, a stary backup trzyma się do samego końca operacji. Pośpiech przy takiej przeprowadzce potrafi kosztować więcej niż sama luka.
Czego szukać w portfelu, zanim powierzy mu się oszczędności
Ta historia podważa wygodne założenie, że wystarczy odciąć urządzenie od internetu. Kod PIN, tryb air-gap i certyfikowany bezpieczny element nie mają znaczenia, jeśli klucz nigdy nie był naprawdę losowy. Dyrektor techniczny Tangem, Andrew Lazutkin, zwrócił uwagę na drugi wniosek, mniej wygodny dla części środowiska: otwarty kod źródłowy nie jest automatycznie równoznaczny z lepszym bezpieczeństwem. Kod Coldcarda był jawny przez pięć lat i przez pięć lat nikt tego błędu nie zauważył.
Przed zakupem portfela sprzętowego warto sprawdzić w dokumentacji producenta trzy rzeczy. Czy klucz prywatny powstaje wewnątrz certyfikowanego bezpiecznego elementu i nigdy go nie opuszcza. Czy losowość pochodzi ze sprzętowego generatora opisanego konkretnym standardem, a nie z ogólnikowej deklaracji o „wysokim poziomie bezpieczeństwa”. Czy firmware badały niezależne laboratoria i czy raporty są jawne.
Na tym tle portfele Tangem rozwiązują problem inaczej niż klasyczne portfele z frazą. Klucz powstaje w układzie Samsung z certyfikatem Common Criteria EAL6+, tym samym poziomem, jaki mają paszporty biometryczne, przy użyciu sprzętowego generatora losowego zgodnego z niemieckim standardem BSI AIS 31. Nie opuszcza karty, a domyślnie nie istnieje żadna fraza, którą można by przepisać na kartkę i zgubić. Kopią zapasową jest druga i trzecia karta z tym samym kluczem, przechowywane w innych miejscach. Firmware badały laboratoria Kudelski Security oraz Riscure, producentem jest szwajcarska spółka Tangem AG z Zug, a karty objęto dwudziestopięcioletnią gwarancją.
Uczciwie trzeba dodać, że każdy model bezpieczeństwa ma swoją cenę. Oprogramowania kart Tangem nie da się aktualizować, co zamyka drogę zdalnym atakom przez podmianę firmware, ale też oznacza, że wykrytych błędów nie łata się poprawką. Zespół Ledger Donjon opisał we wrześniu 2025 i w lipcu 2026 roku dwa ataki na kod dostępu do kart, w obu przypadkach wymagające fizycznego posiadania karty i laboratoryjnego sprzętu. Praktyczny wniosek jest prosty: ustawić długie hasło dostępu, minimum osiem znaków z cyframi i symbolami, a karty trzymać osobno i poza zasięgiem przypadkowych osób. Utrata wszystkich kart w modelu bez frazy oznacza utratę środków.
Kto chce zacząć od czegoś darmowego, ma do dyspozycji aplikację mobilną Tangem, w której klucze siedzą w bezpiecznej enklawie iPhone’a albo w systemowym magazynie Androida, a kopią zapasową jest dwunastowyrazowa fraza. Aplikację audytowało Cure53. Przy większych kwotach trzeba jednak rozumieć, że telefon z aktualizowanym systemem i zainstalowanymi aplikacjami to inny model zagrożeń niż karta bez łączności, a portfel mobilny da się później przenieść na kartę bez zakładania nowego.
Różnica wobec sprawy Coldcarda pozostaje jednak zasadnicza. Tam zawiódł moment powstania klucza, czyli jedyny etap, którego użytkownik nie widzi, nie kontroluje i nie potrafi samodzielnie zweryfikować.
Portfele sprzętowe Tangem z rabatem 10 procent z kodem BITHUB zakupicie tutaj (łączą się z dodatkowym rabatem 10% na stronie): tangem.com
Materiał zawiera linki afiliacyjne.. BitHub.pl współpracuje z Tangem i czerpie wynagrodzenie z linków, co nie wpływa na treść analizy. Tekst nie stanowi porady inwestycyjnej. Inwestowanie w kryptoaktywa wiąże się z ryzykiem utraty kapitału. Żaden portfel sprzętowy nie gwarantuje pełnego bezpieczeństwa środków.
Najczęstsze pytania (FAQ)
Czy mój Coldcard jest zagrożony?
Jeśli frazę odzyskiwania wygenerowałeś na urządzeniu Coldcard Mk3 z firmware od 4.0.1 do 4.1.9 albo na Mk4, Mk5 lub Q sprzed poprawek z 31 lipca 2026 roku, traktuj ją jako zagrożoną. Wyjątkiem jest fraza utworzona z co najmniej pięćdziesięcioma prywatnymi rzutami kostką albo zabezpieczona mocnym hasłem BIP-39.
Czy aktualizacja firmware naprawia stary klucz?
Nie. Poprawka dotyczy wyłącznie kluczy tworzonych po jej instalacji. Fraza, która powstała wcześniej, pozostaje słaba i środki trzeba przenieść do nowego portfela.
Przeniosłem frazę z Coldcarda na Trezora. Czy jestem bezpieczny?
Nie. Podatność siedzi w samych słowach frazy, a nie w urządzeniu, które ją przechowuje. Ten sam zestaw słów daje ten sam klucz prywatny niezależnie od producenta sprzętu.
Czy multisig chroni przed tą luką?
Tylko wtedy, gdy kworum podpisów obejmuje urządzenia spoza podatnej grupy. Układ wielopodpisowy złożony wyłącznie z podatnych Coldcardów nie daje ochrony.
Jaki portfel sprzętowy wybrać zamiast Coldcarda?
Nie ma jednej odpowiedzi, bo każdy model przenosi ryzyko gdzie indziej. Ledger, Trezor, Blockstream Jade, Bitkey i Tangem potwierdziły, że ten konkretny błąd ich nie dotyczy. Przy wyborze sprawdzaj, gdzie powstaje klucz, jakim standardem opisany jest generator losowy i kto badał firmware, a przy większych kwotach rozważ układ wielopodpisowy złożony z urządzeń różnych producentów.
Ile kosztowało złamanie takiego klucza?
Dla modelu Mk3 przestrzeń przeszukiwania spadła do około 40 bitów zamiast docelowych 128. To poziom, który przechodzi się siłowo na komercyjnym sprzęcie w rozsądnym czasie, bez potrzeby dostępu do superkomputera.
Redakcja BitHub.pl poleca również: