בשלושה גלים מתואמים שהתחוללו בין ה-30 ביולי ל-1 באוגוסט 2026, נגנבו 1,367 ביטקוין בשווי 88.6 מיליון דולר מ-4,585 כתובות של משתמשי ארנק החומרה Coldcard. פריצת ארנק Coldcard אוגוסט 2026 נחשבת לאחד האירועים החמורים ביותר בתחום אחסון הקריפטו העצמי מאז קריסת FTX, ומקורה לא בפריצה פיזית אלא בפגם קושחה שקיים מאז מרץ 2021. חברת Coinkite הקנדית, יצרנית המכשיר, פרסמה אזהרה דחופה והורתה למשתמשים להעביר את כספם מיידית לארנקים חדשים שנוצרו עם תוכנה מתוקנת.
הרקע: ארנק שנחשב לתקן הזהב של אבטחת ביטקוין
Coldcard הוא ארנק חומרה המיועד לביטקוין בלבד, המיוצר על ידי Coinkite, חברה קנדית שמנכ"לה הוא רודולפו נובאק (המוכר בציבור כ-NVK). ארנק חומרה הוא מכשיר פיזי שמאחסן את המפתחות הפרטיים של המשתמש במצב לא מקוון, מנותק לחלוטין מהאינטרנט, כך שתוקף מרוחק אינו יכול לגשת אליהם ישירות.
Coldcard נחשב שנים לאחד המכשירים המאובטחים בשוק, ופופולרי במיוחד בקרב משתמשים המחזיקים סכומים גדולים בביטקוין. הדגמים Mk2, Mk3, Mk4, Mk5 ו-Q הם הדגמים שיצאו לשוק לאורך השנים, כאשר Mk3 ו-Mk2 מושפעים בחומרה הרבה ביותר מהפגם שהתגלה.
בשנת 2021 שינתה Coinkite את רישיון קוד המקור של Coldcard מ"קוד פתוח" ל-"Source Verifiable", כלומר הקוד נגיש לצפייה אך לא לשינוי חופשי. שינוי זה נידון כעת, לפי דיווחים שפורסמו אחרי האירוע, כגורם שעשוי לפרשנות מסוימת היה מקשה על קהילת המפתחים החיצונית לזהות את הפגם מוקדם יותר, אם כי מדובר בהערכה ספקולטיבית שלא הוכחה.
שלושה גלים תוך 72 שעות: המספרים המדויקים של הפריצה
ב-30 ביולי 2026 גילתה חברת Coinkite את הפרצה ופרסמה אזהרת אבטחה. באותו יום, בתוך 41 דקות בלבד, התחולל הגל הראשון: לפי Chainalysis, חברת ניתוח בלוקצ'יין, נגנבו כ-1,083 ביטקוין בשווי 70.2 מיליון דולר מ-1,196 כתובות. Chainalysis מצאה כי התוקף נתן עדיפות לארנקים בעלי ערך גבוה, וסחף 30 מיליון דולר בעשר הדקות הראשונות, כולל 1.8 מיליון דולר מקורבן אחד בלבד.
ב-31 ביולי פרסמה Coinkite קושחה מתוקנת לכל הדגמים. אולם Galaxy Research, חלק מחברת Galaxy Digital, זיהתה גל שני וגל שלישי של התקפות שהמשיכו לפעול. ב-1 באוגוסט אישרה Galaxy כי בסך הכל נגנבו 1,367.05 ביטקוין בשווי 88.6 מיליון דולר מ-4,585 כתובות שונות. אלכס ת'ורן, ראש מחלקת המחקר של Galaxy Research, הזהיר ב-2 באוגוסט כי המתקפה עדיין נמשכת.
CryptoQuant תיעדה ב-31 ביולי זינוק חריג: 39,600 ביטקוין הועברו בעסקאות מתחת ל-1 BTC, הנתון הגבוה ביותר מאז נובמבר 2022. מספר הכתובות הפעילות היומי בביטקוין קפץ מכ-645,000 לקרוב למיליון, הרמה הגבוהה ביותר מאז דצמבר 2024, ככל הנראה כתוצאה ממשתמשים שהמהרו להעביר את כספם.
מה זה cold storage ביטקוין ולמה הוא לא תמיד בטוח?
cold storage ביטקוין הוא שיטת אחסון שבה המפתח הפרטי, הקוד המאפשר לשלוח ביטקוין מכתובת מסוימת, נשמר במכשיר שאינו מחובר לאינטרנט. זה אמנם מונע גישה מרוחקת של האקרים, אך לא מגן מפני כשלים ביצירת המפתח עצמו, מה שאומר שמה זה cold storage ביטקוין ולמה הוא לא תמיד בטוח הוא שאלה שהפריצה הנוכחית הפכה לדחופה ומוחשית.
בפגם שנמצא ב-Coldcard, הבעיה לא הייתה שמישהו גנב את המפתח מהמכשיר. הבעיה הייתה שמלכתחילה, בעת יצירת המפתח, המכשיר השתמש במחולל מספרים פסאודו-אקראיים מבוסס תוכנה במקום במחולל החומרה האקראי האמיתי. מחולל פסאודו-אקראי הוא תוכנה שמייצרת מספרים שנראים אקראיים אך לאמיתו של דבר ניתנים לחיזוי בתנאים מסוימים. הבאג הוצג לראשונה בגרסת קושחה 4.0.1 של Coldcard Mk3, שפורסמה במרץ 2021.
כדי להבין את ממד הסיכון, כדאי להיעזר בנתונים: מפתח גישה תקין של 12 מילים (בפרוטוקול BIP-39) אמור להחזיק 128 ביטים של אנטרופיה, כלומר מידת אקראיות. ביטים כאן הם יחידת מדידה של כמות האפשרויות, וכל ביט מכפיל את מרחב הניחושים פי שניים. ארנקי Mk3 פגיעים ייצרו מפתחות עם כ-40 ביטים של אנטרופיה בלבד, שהם מרחב קטן ב-2 בחזקת 88 מהנדרש, כמות שתוקף עם כוח חישוב מספיק יכול לסרוק בזמן מעשי. ארנקי Mk4, Mk5 ו-Q ייצרו כ-72 ביטים, חלש מהנדרש אם כי פחות קיצוני. צוות האבטחה של חברת Block, חברת התשלומים של ג'ק דורסי, שיתף פעולה עם חוקרים נוספים בניתוח הפגיעות.
הנקודה הקריטית היא שהתקנת קושחה מתוקנת אינה מתקנת מפתח שכבר נוצר באופן פגום. גם העברת המפתח הפגום לארנק אחר לא תפתור את הבעיה, שכן הסיכון טמון במפתח עצמו, לא במכשיר. עיקרון זה, שחשוב להבינו לפני שנכנסים לעולם הנכסים הדיגיטליים ועקרונות שוק ההון, מסביר מדוע Coinkite הורתה ליצור מפתח חדש לגמרי בארנק חדש עם קושחה מתוקנת ולהעביר אליו את הכספים.
מה זה אומר: השלכות מדווחות ושאלות שנותרו פתוחות
האירוע מערער את אחד מעקרונות הליבה של עולם הקריפטו: הרעיון שאחסון עצמי ממוחשב, המנותק מהאינטרנט, הוא תמיד הפתרון הבטוח ביותר. חשוב לציין, כפי שמדגישים חוקרים מאז האירוע, שהפגיעות היא ביישום הספציפי של Coldcard, ולא בפרוטוקול הביטקוין עצמו. הביטקוין כרשת ממשיך לפעול כשורה.
שאלת ייחוס התוקף נותרת פתוחה. Galaxy Research מעריכה כי שני הגלים הראשונים בוצעו על ידי אותו גורם, אך הגל השלישי הציג דפוסים שונים, שמרמזים אולי על תוקף נוסף שהצטרף. הכספים שנגנבו לא הועברו באופן משמעותי מכתובות התוקף, נכון לתאריך פרסום כתבה זו, והמניע ואופן מימוש הרווח עדיין אינם ידועים. חלק מהמקורות ספקולטיביים מעלים את השאלה האם בינה מלאכותית סייעה לשבור את המפתחות החלשים, בהתחשב בכך שהבאג קיים מ-2021 ורק עכשיו נוצל, אך אין לכך עדיין אישור מהחוקרים.
גם ניתוח הנזק הכולל אינו סופי. Galaxy Research הזהירה כי ניתוח מבוסס בלוקצ'יין בלבד אינו יכול לאשר בוודאות שכל הכתובות שזוהו נוצרו עם האנטרופיה החלשה של Coldcard, ושייתכן שההפסד הכולל גבוה עוד יותר. לאנשים המתחילים לבחון את עולם ההשקעות הדיגיטליות לראשונה, שאלת ניהול סיכונים – שמוסברת במסגרת רחבה יותר במאמר על מינוף פיננסי וניהול סיכונים – נכנסת לתמונה גם כאן: גם הבחירה באמצעי אחסון היא סוג של החלטת ניהול סיכון.
שאלת הרגולציה מחריפה גם היא. ספק אם הרשויות בקנדה ובארצות הברית יבחנו את מחויבות Coinkite לגילוי פגמים ולאחריות יצרן. Coinkite שלחה התרעות אבטחה בדואר אלקטרוני לכל המשתמשים הנגישים, אך היקף ההגעה בפועל אינו ידוע.
שאלות נפוצות
האם כל ארנקי Coldcard נפרצו?
לא. הפגם קיים בגרסאות קושחה 4.0.1 עד 4.1.9 בדגמי Mk3 ו-Mk2, ובגרסאות קושחה קודמות בדגמי Mk4, Mk5 ו-Q. משתמשים שיצרו את המפתח שלהם לאחר עדכון לקושחה המתוקנת, או שהשתמשו ב-50 הטלות קוביות אקראיות עצמאיות ובסיסמת BIP-39 חזקה, אינם בסיכון מיידי לפי הדיווחים. חשוב לבדוק את גרסת הקושחה שבה נוצר המפתח, לא הגרסה הנוכחית.
מה זה cold storage ביטקוין ולמה הוא לא תמיד בטוח?
cold storage ביטקוין הוא אחסון של המפתח הפרטי במכשיר מנותק מהאינטרנט, שמגן מפני פריצה מרוחקת. עם זאת, הוא אינו חסין אם תהליך יצירת המפתח עצמו היה פגום, כמו במקרה של Coldcard, שבו מחולל האקראיות יצר מפתחות ניתנים לחיזוי. הצורה שבה נוצר המפתח חשובה לא פחות מהמקום שבו הוא מאוחסן.
מה עושים עכשיו אם יש לי ארנק Coldcard ישן?
לפי אזהרת Coinkite, יש ליצור ארנק חדש לגמרי עם קושחה מתוקנת, ולהעביר אליו את כל הכספים מיידית. התקנת קושחה מתוקנת על המכשיר הקיים אינה מתקנת מפתח שכבר נוצר בתנאים פגומים. גם העברת אותו מפתח לארנק אחר לא תפתור את הבעיה, שכן הסיכון טמון במפתח עצמו.
האם הביטקוין כמטבע נפרץ?
לא. הפגיעות היא ביישום הספציפי של קושחת Coldcard, ולא בפרוטוקול הביטקוין עצמו. רשת הביטקוין פועלת כרגיל, ומשתמשים שמחזיקים ביטקוין בבורסות, בארנקי תוכנה אחרים, או בארנקי חומרה אחרים שנוצרו עם מחולל אקראיות תקין, אינם מושפעים מהפגם הספציפי הזה.
פריצת ה-Coldcard מזכירה עיקרון יסוד שחל על כל סוג של נכס, דיגיטלי או מסורתי, ושמוכר לכל מי שמתחיל ללמוד כיצד מתחילים להשקיע ולנהל סיכונים: אין מערכת אחסון ואין מכשיר אחד שמבטל לגמרי סיכון, ורמת הביטחון שמנגנון מספק תלויה תמיד בשלמות היישום שלו בפועל, לא רק בתפיסה.
להעמיק בנושא
- חיסכון לילדים בשוק ההון בנה עתיד זהוב 2026
- כמה כסף צריך כדי להתחיל להשקיע בשוק ההון בישראל
- מינוף בשוק ההון איך ממנפים השקעות במניות בצורה חכמה
- מה זה שוק ההון? המדריך למתחילים להשקעה בישראל 2026
רוצים להבין את השוק לעומק, לא רק לקרוא כותרות?
במינוף פיננסי אנחנו מלמדים איך שוק ההון באמת עובד: מהיסודות ועד ניתוח שווקים ומסחר. הכירו את תוכנית ההכשרה או הצטרפו לקהילת הוואטסאפ שלנו לעדכונים שוטפים.
גילוי נאות: התוכן בכתבה זו הוא מידע וסיקור חדשותי כללי לצורכי לימוד בלבד, ואינו מהווה ייעוץ השקעות, שיווק השקעות או המלצה לרכישה, החזקה או מכירה של נייר ערך כלשהו כהגדרתם בחוק הסדרת העיסוק בייעוץ השקעות, בשיווק השקעות ובניהול תיקי השקעות, התשנ"ה-1995. אין באמור תחליף לייעוץ אישי בידי בעל רישיון המתחשב בנתונים ובצרכים של כל אדם. השקעה בשוק ההון כרוכה בסיכון לרבות אובדן הקרן.