xmr.club
EN 中文 ES RU + добавить
★ FRONT-PAGEASageSwap— Anonymous swap — no KYC, no AML hold, no IP logging, declines law-enforcement requests.→
/wallets · проверено 2026-09-16

Coldcard

D

Hardware-кошелёк только-Bitcoin от Coinkite. Подпись PSBT через SD, полностью air-gap.

Мейнтейнер: Coinkite / NVK

⚠ INCIDENT
Хроника инцидента
  1. 2026-07-30 First sweep — ~594 BTC (~$38M) drained from ~500 Coldcard-secured wallets into a single consolidation address within ~25 minutes.
  2. 2026-08-03 Further waves over four days; Galaxy Research tally reaches ~1,816 BTC (~$116M) across 5,200+ addresses.
  3. 2026-08-04 Coinkite publishes a security advisory, halts Coldcard shipments, destroys affected-firmware inventory, and directly contacts shipped-order customers. Root cause: a March-2021 firmware integration error (software PRNG instead of the STM32 hardware RNG).
  4. 2026-09-16 xmr.club downgrades Coldcard A → D and posts this incident; prior grade rested on verification that predated the exploit (last checked 2026-05-13).
  5. 2026-09-25auto On 21 Sep 2026 Galaxy Research and Alex Thorn reported that white-hat operators consolidated Coldcard-exploit coins into a Crypto Recovery Trust address in block 967948, with an OP_RETURN pointing victims to cryptorecoverytrust.com. Thorn put the traced amount at 52.37 BTC, about 2.8% of tracked losses and roughly 4…
  6. 2026-10-02auto Operator status is unchanged: Coinkite's COLDCARD Security Status page was last updated 2026-09-06 and the newest blog post (2026-09-23) is an unrelated firmware-how-to, so there is no new official disclosure, postmortem, refund portal, or resolution in the last 7 days. The material new item is third-party/legal: a…
  7. 2026-10-09auto No resolution, refund portal, or claim deadline appeared in the last 7 days, and no official new attack-wave disclosure was published. The main in-window items are Coinkite's Oct 1 status-page/firmware update (5.6.3 and 1.5.3Q), which reiterates that existing affected seeds still require migration, plus third-party…
  8. 2026-10-16auto The underlying July 2026 seed-generation incident itself is unchanged: Coinkite's Security Status page (last updated 2026-10-01) still lists fixed firmware (Mk4/Mk5 5.6.3, Q 1.5.3Q), requires migration for existing affected seeds, and says the detailed postmortem is still in preparation. The material new development…
  9. 2026-10-30auto The only material new item in the last 7 days is legal, not technical: a proposed Ontario class action against Coinkite and co-founders Rodolfo Novak and Peter D. Gray became public in late October, alleging the 2021 firmware flaw and that Coinkite knew of it in May 2025 (Coinkite disputes this). Coinkite's official…
  10. 2026-11-13auto On 9 Nov 2026 Coinkite CEO NVK again said prior human reviews missed the March 2021 seed bug and that a new AI model found it. The same day Luke Dashjr publicly listed nine RNG concerns against a July firmware revision, stating they are not all claimed as bugs or exploitable and that the pass was a quick look, not a…
лёгкий KYC железоBTC-ONLYPSBT некастодиopen-sourcemultisig supportedаудит
Перейти на Coldcard → ⚠ Сообщить Markdown-двойник Поделиться ↗ Запросить проверку

Сводка

Оценка
D
KYC-постура
лёгкий KYC
Комиссии
$120 hardware · Bitcoin-only · PSBT-via-SD
Последняя проверка
2026-09-16
Работает с
2017 · 9y — Coinkite (parent) founded 2012; Coldcard hardware wallet product launched ~2017-2018. Domain WHOIS 2003 is premium-domain.
Инцидент
⚠ Активен с 2026-07-30 — /incidents
D Почему оценка D?

Listed for completeness or as a warning. Either KYC posture is questionable at scale, the provider has known unresolved issues, or the listing exists to anchor a comparison.

Полный рубрик + 7-шаговая проверка на /methodology.

вердикт куратора · главный итог

Вердикт куратора и OpSec-анализ

ГЛАВНЫЙ ИТОГ

Coldcard имеет серьёзные сомнения по безопасности или прошлые инциденты. Не рекомендуется для важных задач приватности.

✓

Доказанные плюсы

  • ▸ Некастодиальная архитектура: пользователь полностью контролирует приватные ключи.
  • ▸ Открытый исходный код: публичные репозитории для независимого аудита.
  • ▸ Подтверждённый стаж: непрерывная работа на рынке с 2017 (9 лет).
⚠

OpSec-риски и нюансы

  • ▸ АКТИВНЫЙ ИНЦИДЕНТ (2026-07-30): A March-2021 Coldcard firmware bug routed seed generation to a software pseudo-random number generator instead of the STM32 hardware RNG, weakening entropy on affected devices to as little as 40 bits (from 128). An attacker who reconstructed the formula derived private keys remotely — no physical access needed — sweeping ~594 BTC (~$38M) from ~500 wallets in the first 25 minutes, growing to ~1,816 BTC (~$116M) across 5,200+ addresses over four days (Galaxy Research tally). It is the largest hardware-wallet exploit of 2026.
  • ▸ Риск триггера KYC: операции могут быть заморожены для проверки при срабатывании алгоритмов риска.
  • ▸ Только clearnet: нет официального .onion-зеркала; IP-адрес виден, если не используется VPN или Tor.

Обзор

Только-Bitcoin hardware-кошелёк, подписывает PSBT через SD-карту — никогда не подключается к машине с интернетом. Open-source прошивка, защищённый элемент Microchip ATECC608A. Текущая модель — Mk4; поддерживает BIP39/BIP85, taproot, multisig. Часто в паре со Sparrow/Specter для multisig от нескольких вендоров. Цена ~$120.

Комиссии

$120 hardware · Bitcoin-only · PSBT-via-SD

Ссылки

Взято со страниц оператора — проверяйте личность по нескольким каналам, прежде чем доверять срочным указаниям.

Audit-trail — квитанции к редакционному заявлению

  • ● UPSTREAM Работает · HTTP 200 · 1654ms · проверено 14h ago
  • ○ ONION Нет .onion зеркала
  • ✎ MANUAL Последняя ручная проверка 2026-09-16 (<90d)
  • ⌕ LOG См. лог куратора для Coldcard

Отзывы — модерировано · правила

Отзывов ещё нет. Будьте первым.

Добавить отзыв

Честный нейтральный фидбэк приветствуется. Куратор одобряет до публикации. JS не нужен.

Что произошло? (необязательно, отметьте нужное)

Не пишите ID заказов, txid и адреса в тексте отзыва: всё похожее на ID скрывается при публикации.

Обязательно: тело отзыва. Честные описательные отзывы одобряются в течение дня. Маркетинг, оскорбления и брань отклоняются. Лимит 5 отправок в день на IP.