Самый убедительный фишинг — тот, что приходит с настоящего аккаунта и ссылается на настоящий баг. В воскресенье, 11 октября 2026, официальный X-аккаунт Coldcard, @COLDCARDwallet, опубликовал фейковое предупреждение о «критической уязвимости прошивки» и призвал владельцев Mk4, Mk5 и Q перенести биткоины через сайт для «миграции». Сайт оказался фишинговым. Пост позже удалили.
Подтверждённых потерь нет. Но момент выбрали точно: владельцы Coldcard в июле пережили вполне реальный баг со слабой случайностью, после которого им действительно пришлось переносить средства на новые seed-фразы. На эту память атакующие и рассчитывали.
Главное
- 11 октября 2026 с официального X-аккаунта Coldcard, @COLDCARDwallet, опубликовали пост о «критической уязвимости прошивки» в Mk4, Mk5 и Q со ссылкой на фишинговый сайт; позже пост удалили.
- Фишинговый домен, по имеющимся данным, — migrate.coldcardwallet.io, ссылку выложили около 02:00 UTC; единственный официальный сайт Coldcard — coldcard.com.
- Coldcard говорит, что с 2017 года аккаунт защищён офлайн-2FA и ограниченным доступом, а в логах нет подходящих входов и сессий; компания подозревает доступ на уровне платформы X.
- Подтверждённых потерь нет; под риском только те, кто ввёл свою seed-фразу из 24 слов на фишинговой странице.
- Приманка отсылала к реальному июльскому багу Coldcard со слабой случайностью: кражи начались 30 июля, ушло около 1 600–1 800 BTC (примерно $100–130 млн).
- Актуальная рекомендованная прошивка — 5.6.3 для Mk4 и Mk5 и 1.5.3Q для Q.
Что случилось с X-аккаунтом Coldcard 11 октября 2026?
Кто-то опубликовал с верифицированного X-аккаунта Coldcard пост о критическом дефекте прошивки в Mk4, Mk5 и Q и призвал владельцев перенести средства через сайт «миграции», который на деле был фишинговым. Coldcard говорит, что выясняет, как пост попал в аккаунт, а сам пост удалён.
Как пишет U.Today, пост появился в воскресенье и позже был удалён. Фишинговый домен, по имеющимся данным, — migrate.coldcardwallet.io, ссылка появилась около 02:00 UTC. На первый взгляд правдоподобно, но это не домен Coldcard.
Заявление Coldcard в передаче crypto.news: «Мы выясняем, как пост с фишинговой ссылкой был опубликован с этого аккаунта». Компания напомнила, что её единственный официальный сайт — coldcard.com.
Почему фейк выглядел настоящим
Пост не просто называл уязвимость. В нём перечислялись реальные, уже пропатченные версии прошивки — для технической убедительности. И бил он по людям, которым три месяца назад говорили, что перенос средств на новый seed — ровно то, что нужно сделать.
Настоящий баг — лучший костюм для фишинговой ссылки.
Как атакующие получили доступ к аккаунту Coldcard?
Пока неизвестно. Coldcard говорит, что с 2017 года аккаунт защищён офлайн-двухфакторкой и ограниченным доступом, а в логах нет входов и сессий, совпадающих с постом. Поэтому компания подозревает доступ на уровне платформы — через сам X, — а не украденный пароль.
По данным U.Today, Coldcard попросил X провести расследование и сослался на непроверенные сообщения о том, что доступ к внутренним инструментам X продаётся на даркнет-рынках. Ничего из этого не подтверждено, и в доступных на 11 октября публикациях X публично инцидент не объяснил.
Если Coldcard прав, вывод неприятный: сильной защиты аккаунта со стороны пользователя оказалось недостаточно. Верифицированная галочка и годы чистой истории ничего не говорили о том, кто на самом деле публикует.
Мой Coldcard в безопасности — что делать?
Твой Coldcard и твои биткоины в безопасности, если ты не вводил seed-фразу из 24 слов на фишинговом сайте. Фейковый пост не эксплуатировал устройство — он пытался заставить владельцев вписать seed в веб-страницу. Если ты это сделал, считай seed скомпрометированным и немедленно переведи средства на новый.
Для всех остальных чек-лист короткий:
- Никогда не вводи seed-фразу на сайте — ни по какой причине. Ни одна легитимная «миграция» так не работает.
- Пользуйся только coldcard.com для прошивок и объявлений и проверяй домен посимвольно.
- Проверь прошивку: 5.6.3 для Mk4 и Mk5, 1.5.3Q для Q.
- Срочность — красный флаг. Настоящие фиксы приходят с инструкциями, которые можно проверить, а не с таймером.
Волна подделок с июля
Это не первая попытка нажиться на июльском баге Coldcard. Исследование Unclone от 5 августа нашло 10 доменов-двойников, зарегистрированных в течение пяти дней после июльского раскрытия, а 34 из 97 аккаунтов с брендом Coldcard или Coinkite выдавали себя за поддержку. Предыстория июльского инцидента — и то, как вор потом гонял BTC через THORChain, — в нашем материале о взломе Coldcard и украденных BTC.
Что это значит для тех, кто делает свапы
Ни один сценарий SwapZilla не просит seed-фразу или приватный ключ. Аккаунта, в который нужно входить, нет: ты выбираешь пару, отправляешь монеты на депозитный адрес и получаешь результат на адрес кошелька, который указал сам, — ключи не покидают твой кошелёк. Если сообщение от имени любого кошелька или сервиса свапов просит seed — это фишинг. Как работает схема «только адрес» — в гиде про свапы без подключения кошелька, пошагово — в разделе как это работает, частые вопросы о безопасности — в FAQ. За неделю это подтвердилось дважды: после потерь через реселлера Ledger слабое звено снова оказалось вне устройства.
Финальная мысль
Инцидент Coldcard 11 октября заметили быстро, пост удалили, подтверждённых потерь нет. Главное в нём — схема: атакующие одолжили официальный аккаунт, реальную уязвимость и реальные номера прошивок ради одной просьбы — введи сюда свой seed.
Это ровно та просьба, которую ни производитель аппаратных кошельков, ни биржа, ни сервис свапов никогда легитимно не сделают. Помни это — и большая часть таких атак не сработает, с чьего бы аккаунта они ни пришли.