С начала 2026 года шесть брендов аппаратных криптовалютных кошельков раскрыли проблемы безопасности. Подтвержденные потери криптоактивов связаны с кошельками Coldcard и дистрибьютором Ledger. Последний случай касается устройств, которые, предположительно, были изменены до доставки покупателям. Уже опубликованные данные указывают, что некоторые затронутые устройства Ledger могли попасть на рынки за пределами Юго-Восточной Азии, однако масштаб распространения и число пользователей пока не установлены. Для владельцев, использующих аппаратные кошельки для хранения активов в офлайн-режиме, риски связаны не только с самим устройством, но и с генерацией ключей, контролем цепочки поставок и обработкой клиентских данных.
Уязвимость Coldcard при генерации ключей привела к потерям
30 июля злоумышленники начали выводить активы с некоторых кошельков Coldcard. Инцидент связали с недостаточным уровнем случайности при генерации закрытых ключей. Позднее Galaxy Research оценила совокупные потери, связанные с Coldcard, более чем в $115 млн. Этот случай показывает, что даже генерация закрытого ключа непосредственно аппаратным кошельком не исключает угрозу для активов, если уязвим сам используемый алгоритм или процесс формирования ключа.
Лазерные атаки требуют доступа к устройству и лабораторного оборудования
В июне внутренняя команда безопасности Ledger протестировала лазерные атаки на чип, используемый в Trezor Safe 7. В июле специалисты провели аналогичное испытание карт Tangem. В обоих случаях требовались физический доступ к устройству и специальное лабораторное оборудование. Trezor заявил, что средства пользователей не пострадали. Tangem назвала риск для обычных владельцев «практически несуществующим» и отметила, что исследователи представляли конкурирующую компанию.
BitBox устранил уязвимости прошивки без сообщений о краже
В августе BitBox устранил несколько уязвимостей в прошивке. Инженеры компании назвали их серьезными, однако BitBox не сообщал о хищении средств в результате этих проблем. В сравнении с инцидентом Coldcard эти случаи показывают, что последствия уязвимости могут существенно различаться. При оценке практического риска важны также необходимость физического доступа к устройству и наличие подтверждений того, что недостаток уже использовался для атаки.
Утечки данных и вмешательство в устройства создают разные угрозы
В других инцидентах пострадали персональные данные пользователей, а не непосредственно ключи кошельков. Партнер Trezor по доставке раскрыл данные 13 689 покупателей, а утечка у SafePal затронула почти 40 000 домашних адресов. Раскрытие адресов и аналогичной информации создает риски для конфиденциальности и может привести к дополнительным угрозам безопасности, однако доступные данные не указывают, что эти инциденты напрямую привели к краже криптоактивов пользователей.
Случай Ledger связан прежде всего с цепочкой поставок. По имеющимся данным, устройства могли быть изменены до того, как поступили покупателям. Опубликованные материалы не уточняют количество затронутых устройств, каналы продаж и точную географию распространения за пределами Юго-Восточной Азии. На данный момент подтверждено, что в 2026 году о проблемах безопасности сообщили шесть брендов, а известные случаи потери криптоактивов связаны с Coldcard и дистрибьютором Ledger. Масштаб возможного распространения измененных устройств Ledger остается невыясненным.