С официального аккаунта Coldcard в X разослали фишинговую ссылку: владельцев кошельков звали на «срочную миграцию»

Что произошло 11 октября

Coldcard — аппаратный кошелёк только для биткоина, его делает канадская компания Coinkite. В ночь на воскресенье с её официального аккаунта в X вышел пост с заголовком «URGENT COLDCARD SECURITY UPDATE». В нём говорилось о критической ошибке генерации seed-фразы в недавних прошивках и о том, что владельцам затронутых кошельков пора «начать аккуратную миграцию». Ссылка вела на адрес migrate.coldcardwallet.io. К Coldcard он отношения не имеет: единственный сайт компании — coldcard.com.

Хронология по сообщениям Bitcoin.com News и Crypto Briefing:

• около 02:00 UTC — пост появляется в аккаунте;
• следующие часы — читатели замечают подмену и предупреждают друг друга в ответах;
• 05:46 UTC — Coldcard подтверждает инцидент: пост удалён, по ссылке переходить нельзя;
• примерно через 20 минут — компания публично просит поддержку X срочно разобраться.

Заявление компании короткое: «Мы выясняем, как с этого аккаунта был опубликован пост с фишинговой ссылкой. Он уже удалён». Позже она добавила: «Фишинговый пост появился в нашем аккаунте, но мы не находим ни входа, ни сессии, ни записи о доступе, которые бы ему соответствовали».

Почему посту легко было поверить

Потому что три месяца назад почти такое же предупреждение было настоящим.

В конце июля 2026 года выяснилось, что прошивки Coldcard с марта 2021 года создавали seed-фразы со слабой случайностью: из-за ошибки сборки генератор выдавал намного меньше энтропии, чем положено. Взломщикам не понадобились ни сами устройства, ни фишинг. Они перебирали возможные фразы у себя на компьютерах и выводили биткоины с подошедших кошельков. Первые кражи начались 30 июля. Потери оценивают в 1 600–1 800 BTC, то есть в 100–130 млн долларов по тогдашнему курсу; аналитики Galaxy Research насчитали 1 816 BTC.

Coinkite тогда выпустила исправленные прошивки: 5.6.0 для Mk4 и Mk5, 1.5.0Q для модели Q, 4.2.0 для Mk3. И прямо предупредила: обновление чинит только будущие кошельки. Seed-фразу, созданную на старой прошивке, оно не исправит, поэтому нужно создать новую и перевести на неё монеты.

На этом и сыграли авторы подделки. Слова «ошибка генерации seed», «миграция» и номера исправленных прошивок владельцы Coldcard уже слышали от самой компании. Поддельный пост, по данным U.Today, называл те же версии. Отличалась одна деталь: настоящая миграция делается на самом устройстве, а фальшивая вела на сайт.

Момент тоже выбран удачно. Всю прошлую неделю обсуждали кражи у покупателей Ledger, и 10 октября компания подтвердила аппаратную закладку в кошельке от реселлера. Владельцы аппаратных кошельков и без того нервничали.

Как пост попал в аккаунт

Этого пока не знает никто, включая Coldcard. Компания говорит, что с 2017 года аккаунт защищён офлайн-двухфакторной аутентификацией, доступ к нему есть у очень узкого круга людей, а в журналах нет ни чужого входа, ни чужой сессии.

Отсюда версия, которую Coldcard сама называет предположением: доступ получили не через её учётные данные, а на стороне платформы, через административные инструменты X. В сети ходят сообщения о продаже такого доступа на теневых площадках, но связи с этим случаем никто не показал. X на утро 12 октября причину не называл.

Для владельца кошелька вывод неприятный и простой. Галочка, возраст аккаунта и число подписчиков не доказывают, что пост написала сама компания.

Как отличить настоящее обновление от подделки

• Seed-фразу не вводят на сайтах. Ни одно настоящее обновление прошивки этого не требует. Фраза вводится только на самом устройстве, и только когда вы сами решили восстановить кошелёк.
• Прошивку берут с сайта производителя. Адрес набирают руками или открывают из своей закладки, а не по ссылке из поста, письма или сообщения.
• Срочность — приём давления. «Немедленно», «пока не поздно», «осталось два часа» рассчитаны на то, что вы не успеете подумать. Настоящая проблема не станет хуже за десять минут, которые уйдут на проверку.
• Новость проверяют в двух местах. Если о критической ошибке пишет один-единственный пост, а на сайте компании тишина, лучше подождать.
• Адрес читают по буквам. coldcardwallet.io выглядит правдоподобно, но это чужой домен. Так же внимательно стоит проверять обменник до перевода.

Правило работает далеко за пределами Coldcard. Ни кошелёк, ни биржа, ни криптообменник не попросят у вас seed-фразу. Где её держать и что делать при утечке, мы разбирали в гайде как хранить seed-фразу.

Что делать, если вы перешли по ссылке

Если вы только открыли страницу и ничего не вводили, с монетами ничего не случилось: фишинговый сайт не может достать ключи из аппаратного кошелька. Закройте вкладку и ничего с неё не скачивайте.

Если вы ввели seed-фразу, считайте её чужой. Действовать нужно сразу:

1. На самом устройстве с актуальной прошивкой создайте новый кошелёк с новой seed-фразой.
2. Переведите на него все монеты со старого. Скорость важнее комиссии: тот, у кого ваша фраза, занят тем же самым.
3. Старую фразу больше не используйте, даже если кражи не было.

И ещё одно. После таких историй пострадавшим пишут «специалисты по возврату» и «служба поддержки». Это вторая волна тех же мошенников: настоящая поддержка первой в личные сообщения не пишет и фразу не спрашивает.

Как купить биткоин без регистрации сразу на свой кошелёк

Фишинг охотится за тем, что можно украсть на расстоянии: за паролем, кодом из почты, seed-фразой. Чем меньше у вас учётных записей вокруг криптовалюты, тем меньше таких мест.

В VertEXchange аккаунта нет вообще: не нужны ни почта, ни телефон, ни пароль. Вы выбираете пару, указываете адрес своего кошелька и до отправки видите курс и сумму, которая придёт. Монеты уходят сразу на ваш адрес, VertEXchange их не хранит.

• Фиксированный курс держится около 15 минут, пока подтверждается перевод.
• Можно указать адрес возврата: туда монеты вернутся, если обмен не состоится.
• Персональные поля операции удаляются через 24 часа после завершения.
• Чат поддержки есть на каждой странице, вопрос решают по коду обмена.

Так можно купить биткоин за USDT TRC20 прямо на адрес своего аппаратного кошелька или обменять эфир на биткоин без биржи и без личного кабинета.

Частые вопросы

Взломали ли сам кошелёк Coldcard?

Нет. 11 октября пострадал аккаунт в X, а не устройства и не прошивка. Ошибку генерации seed-фраз, о которой напоминал поддельный пост, исправили ещё летом 2026 года.

Нужно ли владельцам Coldcard снова переносить монеты?

Из-за этого поста — нет. Переносить монеты нужно было тем, чья seed-фраза создана на прошивке старше 5.6.0 (Mk4 и Mk5), 1.5.0Q (Q) или 4.2.0 (Mk3), и делается это на самом устройстве, а не на сайте.

Какой сайт Coldcard настоящий?

coldcard.com. Других официальных сайтов, по словам компании, у неё нет.

Украли ли что-нибудь через поддельный пост?

На утро 12 октября 2026 года подтверждённых потерь нет.

Может ли фишинговый сайт украсть биткоины с аппаратного кошелька?

Сам по себе нет: ключи не покидают устройство. Монеты уходят, только если владелец сам введёт seed-фразу на сайте или подтвердит на устройстве чужую транзакцию.

Как понять, что прошивка настоящая?

Скачать её с сайта производителя, открыв адрес вручную, и сверить контрольную сумму или подпись файла по инструкции на том же сайте.