Koncom júla a začiatkom augusta 2026 zasiahol krypto-komunitu bezprecedentný bezpečnostný incident, keď masívny exploit hardvérových peňaženiek Coldcard obral používateľov o vyše 130 miliónov dolárov v Bitcoine. Kanadská spoločnosť Coinkite, ktorá stojí za vývojom tohto populárneho zariadenia zameraného výhradne na Bitcoin, potvrdila, že chyba v konfiguračnom kóde firmvéru trvala od marca 2021 a dlhodobo ohrozovala bezpečnosť používateľskej self-custody. Incident vyvolať obrovskú diskusiu o spoľahlivosti automatizovaných bezpečnostných auditov, kontrole zdrojového kódu a spoľahlivosti generovania náhodných čísel v kryptografických zariadeniach.
Tento hlboký systémový nedostatok ukázal, že ani zariadenia, ktoré sú primárne navrhnuté s dôrazom na maximálnu izoláciu od internetu (tzv. air-gapped peňaženky), nemusia byť voči chybám v samotnom vývojovom procese imúnne. Bezpečnostná komunita začala okamžite po zverejnení incidentu pitvať jednotlivé kroky, ktoré viedli k prehliadnutiu takej závažnej chyby počas niekoľkých rokov. Fakt, že zraniteľnosť zostala neodhalená takmer päť rokov, vyvoláva otázky o efektívnosti interných kontrolných mechanizmov nielen v spoločnosti Coinkite, ale v celom segmente hardvérových úložísk pre digitálne aktíva.
V priebehu uplynulých rokov sa hardvérové peňaženky stali zlatým štandardom pre každého, kto to s uchovávaním kryptomien myslel vážne. Predstava, že offline kľúče sú v úplnom bezpečí pred vzdialenými útokmi, však bola týmto incidentom vážne narušená. Hoci fyzická konštrukcia zariadení Coldcard patrila k špičke na trhu, softvérová vrstva a spôsob zostavovania firmvéru sa ukázali ako kritické slabé miesto, ktoré útočníci dokázali s chirurgickou presnosťou zneužiť vo svoj prospech.
Anatómia útoku a zlyhanie generátora náhodných čísel
Podľa detailných zistení bezpečnostných analytikov z Galaxy Research a správy Coinkite pramení zraniteľnosť z nenápadnej chyby vo firmvérovom zostavení z marca 2021. Konfiguračný flag pre generovanie náhodnosti smeroval nesprávne na deterministický softvérový generátor pseudonáhodných čísel (PRNG) namiesto toho, aby využíval dedikovaný hardvérový čip STM32 na generovanie entropie. Táto softvérová odchýlka znížila pôvodnú 128-bitovú entropiu na približne 40 až 72 bitov v závislosti od konkrétneho modelu peňaženky.
Útočníci túto slabinu systematicky využili počas niekoľkých vĺn, ktoré vyvrcholili masívnym čistením adries. Prvá vlna útokov dokázala v priebehu 41 minút vyprázdniť 1 196 Bitcoin adries, pričom bolo ukradnutých 1 082,65 BTC v hodnote presahujúcej 70 miliónov dolárov. Celkové straty potvrdené analytickými firmami v priebehu niekoľkých dní prekročili hranicu 1 596 BTC a odhady celkového dopadu narastajú k sume 130 miliónov dolárov naprieč vyše 5 200 zasiahnutými adresami.
Spoločnosť Coinkite reagovala vydaním núdzového firmvéru, ktorý kritickú chybu odstraňuje. Výrobca však otvorene varoval, že samotná aktualizácia softvéru nedokáže dodatočne zabezpečiť seed frázy, ktoré boli vygenerované v období platnosti chybného firmvéru. Každý majiteľ ohrozeného zariadenia je tak nútený vygenerovať úplne novú peňaženku a manuálne presunúť svoje aktíva na bezpečné úložisko, čo viedlo k masívnemu presunu prostriedkov na kryptomenové burzy a skokovému nárastu transakčných poplatkov v sieti.
Technická podstata tohto zlyhania spočíva v tom, že predvídateľnejšia entropia umožnila útočníkom dopočítať alebo rekonštruovať privátne kľúče zasiahnutých peňaženiek. Keďže generátor náhodných čísel je základným kameňom každej kryptografie, akékoľvek zníženie jeho náhodnosti otvára dvere pre útoky hrubou silou. Útočníci nečakali a po odhalení chyby začali okamžite prehľadávať blockchain a vyberať prostriedky z tých peňaženiek, ktoré vykazovali znaky slabého generovania kľúčov.
Tento masívny útok mal okamžitý dopad aj na správanie samotných používateľov. Strata dôvery v doteraz bezproblémové zariadenia spôsobila paniku, ktorá sa prejavila v preťažení mempoolu bitcoinovej siete. Transakčné poplatky prudko vzrástli, pretože tisíce ľudí sa snažili narychlo presunúť svoje bitcoiny na čerstvom hardvéri vygenerovanom prostredníctvom bezpečných a overených postupov, čo ešte viac zvýšilo napätie v celej komunite.
Zlyhanie umelej inteligencie a reakcia komunity
Mimoriadne znepokojujúcim aspektom celej kauzy je vyhlásenie samotného výrobcu Coinkite, podľa ktorého moderné nástroje umelej inteligencie (AI) a automatizované systémy kontroly kódu túto chybu počas rokov nezaznamenali. Skúsenosti ukazujú, že spoliehanie sa na AI pri revízii bezpečnostne kritického softvéru môže viesť k falošnému pocitu bezpečí, nakoľko modely nedokázali odhaliť nesprávne nastavenie buildových flagov a submodulových hraníc.
Ako priamu reakciu na tento incident vytvorila odborná komunita špecializovanú iniciatívu s názvom Bitcoin Red Team. Táto skupina v priebehu niekoľkých dní preverila takmer 390 open-source projektov spojených s Bitcoinom a identifikovala ďalších 85 kritických zraniteľností a 635 vysokorizikových chýb. Ukazuje sa, že softvérový ekosystém okolo digitálnych aktív čelí systémovému nedostatku nezávislých ľudských auditov v kľúčových komponentoch infraštruktúry.
Bezpečnostní analytici z TRM Labs zaradili tento incident medzi najväčšie bezpečnostné zlyhania roka 2026. Až 90 % ukradnutých finančných prostriedkov pritom zostáva v čase zverejnenia správy na adresách kontrolovaných útočníkmi bez toho, aby prešli cez mixéry alebo boli okamžite likvidované na trhu, čo naznačuje sofistikovanú prípravu páchateľov.
Rastúca závislosť vývojárov na automatizovaných nástrojoch a generatívnych modeloch pri písaní alebo kontrole kódu sa v tomto prípade ukázala ako dvojsečná zbraň. Kým AI dokáže rýchlo odhaliť syntaktické chyby alebo bežné bezpečnostné vzorce, hlboké logické a konfiguračné prehrešky v buildovacích skriptoch zostávajú pre ňu často neviditeľné. Zlyhanie v Coldcard tak slúži ako bolestivá pripomienka, že ľudský faktor a dôkladný code review od skúsených kryptografov sú nenahraditeľné.
Iniciatíva Bitcoin Red Team svojimi zisteniami zároveň otvorila Pandorinu skrinku. Množstvo odhalených chýb v iných projektoch naznačuje, že krypto-priemysel dlhodobo podceňoval investície do preventívnych bezpečnostných auditov open-source knižníc. Finančné straty, ktoré tento incident priniesol, by mali byť mementom pre vývojárov na celom svete, že bezpečnosť v decentralizovanom svete vyžaduje neustálu a mimoriadne prísnu kontrolu každej jednej línie kódu.
Dôsledky pre self-custody a správu osobných financií
Udalosť okolo peňaženiek Coldcard zásadne otrasila dôverou v model úplnej sebestačnosti pri úschove digitálnych mincí. Doterajšie pravidlo, že hardvérová peňaženka automaticky znamená stopercentnú ochranu pred vzdialenými útokmi, dostalo trhlinu. Zraniteľnosť totiž nespočívala v kybernetickom phishingovom útoku na používateľa, ale v samotnom výrobnom procese a konštrukcii firmvéru, čím sa terčom stali aj tie najopatrnejšie subjekty.
Tento vývoj prinútil popredné inštitúcie prehodnotiť prístup k správe korporátnych aj osobných financií v kryptomenách. Používatelia začali masívne implementovať viacúrovňové schémy podpisovania transakcií (multisig) a prechádzať na hardvér od viacerých nezávislých výrobcov naraz, aby minimalizovali riziko dodávateľského reťazca.
Zabezpečenie privátnych kľúčov sa tak opätovne stáva centrom pozornosti celého odvetvia. Finančné portály a regulátori upozorňujú, že kým sa nepodarí nastaviť štandardizované, nezávisle overiteľné audity pre každý riadok firmvéru otvorených peňaženiek, zostáva riziko podobných exploitu reálnou hrozbou pre celú decentralizovanú ekonomiku.
Koncept self-custody bol vždy postavený na premise „neveriť, overovať“. Avšak spoliehať sa na to, že koncový používateľ dokáže skontrolovať binárny kód alebo správnosť firmvéru dodaného výrobcom, je prakticky nemožné. Celá kauza preto vyvoláva diskusiu o tom, aké záruky by mali výrobcovia hardvéru poskytovať a či by nemali byť povinní prechádzať pravidelnými certifikáciami od akreditovaných bezpečnostných laboratórií.
Z dlhodobého hľadiska môže táto kríza viesť k ozdraveniu trhu. Očakáva sa, že štandardy pre vývoj firmvéru v oblasti hardvérových peňaženiek sa sprísnia a dôraz sa presunie na transparentnejšie kompilačné procesy (reproducible builds). Pre bežných držiteľov bitcoinu to však znamená obdobie zvýšenej ostražitosti, kedy je nutné sledovať oficiálne oznamy výrobcov a aktívne spravovať riziko rozdelením svojich aktív medzi viaceré nezávislé bezpečnostné vrstvy.
Časté otázky
Aké zariadenia boli dotknuté hackom Coldcard?
Zraniteľnosť sa týkala firmvérových zostavení vydaných od marca 2021, ktoré obsahovali chybnú konfiguráciu generátora náhodných čísel na viacerých modeloch hardvérových peňaženiek značky Coldcard od spoločnosti Coinkite.
Koľko peňastí útočníci celkovo ukradli?
Podľa analýz spoločnosti Galaxy Research a forenzných správ dosiahli potvrdené straty v počiatočných vlnách vyše 1 596 BTC, pričom celkové odhady škôd po započítaní ďalších vĺn presahujú 130 miliónov dolárov.
Pomôže jednoduchá aktualizácia firmvéru na ochranu mojich mincí?
Nie celkom. Aktualizácia na opravenú verziu firmvéru síce zabezpečí zariadenie do budúcna, ale nevyrieši už vytvorené seed frázy. Používatelia, ktorých sa chyba týkala, museli vygenerovať novú peňaženku a prostriedky manuálne presunúť.
Prečo túto chybu neodhalila umelá inteligencia?
Podľa vyjadrenia vývojárov z Coinkite systémy umelej inteligencie nedokázali správne vyhodnotiť buildové flagy a submodulové hranice v zdrojovom kóde, čo poukazuje na limity AI pri hlbokých kryptografických auditoch.