Ончейн-активність Біткоїна досягла найвищого рівня 2026 року, оскільки дослідники пов'язали цей сплеск із триваючим експлойтом гаманця Coldcard, попереджаючи, що подібні сплески історично збігалися з локальними поворотними точками ринку.
K33 Research повідомила, що майже 890 000 BTC перемістилися в ончейні за останні сім днів, що є найвищою семиденною активною пропозицією, зафіксованою цього року, навіть попри те, що Біткоїн продовжував торгуватися в одному з найвужчих цінових діапазонів за останні роки.
Дослідницька записка з'явилася в той час, як слідчі продовжують розширювати масштаби зламу апаратного гаманця Coldcard. Galaxy Research у вівторок заявила, що щонайменше 15 різних зловмисників вже скористалися вразливістю, тоді як їхня остання підтверджена оцінка становить 1 596 BTC, викрадених з приблизно 7 300 адрес протягом трьох підтверджених хвиль атак. Фірма додала, що втрати можуть сягнути близько 2 055 BTC, або близько $130 мільйонів, якщо четверта підозрювана хвиля буде підтверджена додатковими повідомленнями жертв.
Хоча попередні спостереження за блокчейном припускали більші втрати, Galaxy заявила, що уточнила свої оцінки після відділення підтверджених повідомлень жертв від підозрюваної ончейн-активності. Дослідницька команда також повідомила, що близько 90% викрадених Біткоїнів не переміщувалися з моменту атак, що дає слідчим додатковий час для моніторингу коштів та координації з криптовалютними біржами, фірмами з безпеки блокчейну та правоохоронними органами США.
Попри відносно спокійну цінову динаміку, керівник відділу досліджень K33 Ветле Лунде зазначив, що швидкість переказів Біткоїна різко зросла.
Згідно зі звітом, Біткоїн зафіксував найвужчий 30-денний діапазон торгівлі від максимуму до мінімуму з 2023 року, тоді як реалізована волатильність впала нижче, ніж у Nasdaq 100. Попри це, активна пропозиція швидко зросла, оскільки постраждалі користувачі переміщували монети після інциденту з Coldcard.
Лунде сказав, що зростання "дуже ймовірно було спричинене атаками Coldcard", додавши, що інцидент "ймовірно, посилив занепокоєння щодо інших апаратних гаманців, включаючи Ledger і Trezor, спонукаючи деяких власників розглянути централізовані кастодіальні рішення або мультипідписні налаштування".
Окремий звіт, опублікований crypto.news, також вказав на зміну поведінки зберігання. Директор з комплаєнсу OKX Джонатан Брокмаєр розповів виданню, що біржа пережила рекордний приплив після інциденту з Coldcard, оскільки деякі користувачі перемістили активи з апаратних гаманців на централізоване зберігання.
«Ми спостерігаємо рекордні рівні припливу на централізовані біржі після Coldcard», — сказав Брокмаєр. «Це цікаво — це свого роду зворотний бік FTX. Стався FTX, і всі перемістили свої гроші на самостійне зберігання, а тепер вони повертаються».
Він сказав, що біржі можуть надавати спеціалізовані команди безпеки та автоматизовані системи моніторингу для користувачів, які віддають перевагу керованому зберіганню, додавши, що самостійне зберігання залишається опцією для клієнтів, які готові самостійно керувати своєю безпекою.
Заглядаючи за межі безпосереднього експлойту, K33 заявила, що подібні сплески ончейн-активності неодноразово з'являлися під час великих ринкових розворотів.
Звіт виявив, що періоди, коли семиденна активна пропозиція входила до верхніх 10% спостережень порівняно з її змінною 365-денною історією, збігалися з локальними вершинами та днами під час ведмежого ринку 2022 року, бичачих ринків 2024 та 2025 років, а також ведмежого ринку 2026 року.
«Інтуїція, що лежить в основі цього спостереження, зрозуміла: паніка помітна в ончейні», — написав Лунде.
Він пояснив, що ринки, що падають, часто спонукають власників переміщувати монети на біржі, щоб обмежити додаткові втрати, тоді як зростання цін заохочує як фіксацію прибутку, так і купівлю, спричинену страхом втратити вигоду. У звіті також зазначається, що два найбільші сплески активної пропозиції цього року відбулися під час лютневих та червневих розпродажів, тоді як окреме зростання наприкінці квітня було, ймовірно, пов'язане зі звичайною ротацією адрес, а не з переказами на біржі.
K33 не стверджувала, що підвищена активність сама по собі прогнозує майбутній напрямок ціни, але зазначила, що історичний зв'язок робить поточну ончейн-поведінку вартою моніторингу, оскільки розслідування Coldcard триває.
Атака виникла через недолік у прошивці Coldcard, який Coinkite розкрила після виявлення, що постраждалі пристрої генерували сид-фрази гаманців за допомогою детермінованого псевдовипадкового генератора чисел замість передбачуваного апаратного генератора справжніх випадкових чисел.
Згідно з технічним оглядом Coinkite, вразливість була впроваджена в березні 2021 року, коли інженери інтегрували нову криптографічну бібліотеку в прошивку гаманця. Хоча апаратний генератор випадкових чисел продовжував працювати в інших частинах програмного забезпечення, створення гаманця помилково покладалося на детермінований генератор MicroPython, зменшуючи ентропію, що використовується для створення нових сид-фраз.
Команда інженерів та безпеки Біткоїна Block самостійно дійшла того ж висновку після перегляду прошивки. Компанія заявила, що вразливі пристрої викликали детермінований резервний варіант MicroPython під час створення гаманця замість апаратного генератора випадкових чисел STM32, хоча вона зазначила, що не завершила тестування всіх постраждалих моделей до публікації своїх висновків, оскільки активні крадіжки вже тривали.
Coinkite оцінює, що постраждалі гаманці Mk2 та Mk3 можуть забезпечувати близько 40 біт ефективної ентропії, тоді як вразливі пристрої Mk4, Mk5 та Coldcard Q можуть генерувати приблизно 72 біти, що значно нижче запланованого рівня безпеки 128 біт.
Термінові оновлення прошивки тепер доступні для всіх постраждалих ліній продуктів. Однак Coinkite заявила, що встановлення оновленої прошивки захищає лише гаманці, створені після виправлення. Власникам, чиї сид-фрази були згенеровані за допомогою вразливої прошивки, було доручено створити абсолютно нові гаманці, перевірити адресу призначення за допомогою невеликої тестової транзакції та перемістити свої Біткоїни лише після підтвердження переказу.
Інцидент також викликав нові дискусії щодо того, як прошивка апаратних гаманців повинна перевірятися перед випуском.
Написавши на X, головний офіцер безпеки Kraken Нік Перкоко стверджував, що виробники не повинні нести виключну відповідальність за перевірку того, як виробнича прошивка генерує сид-фрази гаманців. Він вказав на стандарти NIST SP 800-90B та німецькі BSI AIS-31, заявивши, що порівнянна наскрізна верифікація не застосовується регулярно до прошивки апаратних гаманців, попри важливість безпечної генерації сид-фрази.
Емерит технічного директора Ripple Девід Шварц також прокоментував інцидент, описавши його як приклад ризику виняткових обставин, коли рідкісна технічна несправність може призвести до втрат, що значно перевищують очікування користувачів. Шварц порівняв злам з крахом MF Global у 2011 році, стверджуючи, що, хоча самостійне зберігання усуває залежність від фінансових посередників, користувачі все ще залежать від правильного функціонування апаратного та програмного забезпечення.
Він також зазначив, що, на відміну від клієнтів регульованих фінансових установ, постраждалі власники Coldcard наразі не мають порівнянного механізму відновлення після викрадення коштів через скомпрометовані сид-фрази гаманців.
BTC
