COLDCARD обнаружил фишинговую ссылку в своём X-аккаунте и не нашёл следов взлома

В воскресенье в официальном X-аккаунте производителя аппаратных биткоин-кошельков COLDCARD появился фишинговый пост. Сообщение маскировалось под уведомление о проблемах безопасности и содержало ссылку на поддельный сайт. Компания удалила публикацию и предупредила пользователей не переходить по ссылке.

Следов взлома не нашли

COLDCARD проверила журналы входа в систему, но не нашла ни одной записи, которая совпадала бы по времени с появлением вредоносного поста. Это ставит под сомнение версию о краже учётных данных у кого-то из сотрудников компании.

В COLDCARD напомнили, что используют офлайн двухфакторную аутентификацию с 2017 года и строго ограничивают доступ к аккаунту. Компания допустила, что компрометация произошла не на её стороне, а на уровне самой платформы X. COLDCARD обратилась к администрации сервиса с просьбой расследовать инцидент.

Как работала фишинговая схема

Независимый исследователь изучил инцидент и выяснил, что фишинговая ссылка вела на фальшивый сайт. Ресурс маскировался под страницу миграции кошелька и собирал секретные фразы восстановления — комбинации слов, которые дают полный доступ к криптовалюте пользователя.

Мошенническое сообщение имитировало стиль официальных уведомлений компании о проблемах безопасности. Пользователям предлагали срочно перенести средства через сайт из поста. Такая схема эксплуатирует доверие к верифицированным аккаунтам крупных компаний — пользователи воспринимают посты из официальных каналов как достоверные и следуют инструкциям, особенно если речь о безопасности.

COLDCARD не раскрыла, сколько пользователей перешли по ссылке и ввели свои данные на поддельном сайте. Компания заявила, что будет публиковать дальнейшие проверенные обновления по мере их появления. Единственный официальный сайт компании — coldcard.com.

Связь с июльскими кражами

Инцидент связывают с крупными кражами криптовалюты в июле. По данным Galaxy Digital, из-за эксплуатации уязвимости в Coldcard злоумышленники вывели как минимум $100 млн в биткоинах из 7300 кошельков в ходе трёх подтверждённых волн атак. Galaxy Digital также выявила подозрение на четвёртую волну, которая могла увеличить общие потери до $130 млн.

Июль стал вторым по величине потерь месяцем 2025 года для криптоиндустрии. По данным DefiLlama, в этом месяце хакеры похитили $247,4 млн в криптовалюте — больше украли только в апреле, когда сумма достигла $644 млн. Эксплойт Coldcard стал крупнейшим инцидентом июля. DefiLlama оценила потери, связанные с уязвимостью Coldcard, в $115 млн.

Фишинговый пост в официальном аккаунте появился на фоне этих масштабных краж и может быть попыткой злоумышленников расширить атаку. Пользователи, уже пострадавшие от уязвимости в июле или обеспокоенные безопасностью своих средств, особенно уязвимы к фишинговым сообщениям, которые имитируют официальные инструкции по защите активов.

Вопросы к безопасности платформы

Ситуация с COLDCARD поднимает вопросы о безопасности верифицированных аккаунтов в X. Если компания действительно не нашла следов несанкционированного доступа со своей стороны, это может указывать на системную проблему на уровне платформы. Подобные инциденты особенно опасны для криптоиндустрии, где пользователи привыкли доверять официальным каналам компаний при принятии решений о безопасности своих средств.

COLDCARD заявила, что проверяет все права доступа к аккаунту. Компания также подчеркнула важность базовых правил безопасности: не переходить по подозрительным ссылкам, даже если они опубликованы из верифицированных аккаунтов, и всегда проверять URL-адреса сайтов перед вводом конфиденциальных данных.

Инцидент показывает уязвимость экосистемы криптовалют перед социальной инженерией. В отличие от традиционного банковского сектора, где несанкционированные транзакции можно отменить, потеря доступа к криптокошельку необратима. Одна скомпрометированная seed-фраза означает полную потерю средств без возможности восстановления.

На момент публикации администрация X не комментировала обращение COLDCARD и не предоставляла информации о том, была ли обнаружена уязвимость на стороне платформы. Расследование продолжается.