Podejrzewana czwarta fala ataków wymierzonych w wrażliwe portfele Bitcoin generowane przez Coldcard może już mieć miejsce, a badacz blockchain Alex Thorn ostrzegł 3 sierpnia, że prawie 449 BTC zostało wyczyszczonych z setek adresów w około dwie i pół godziny.
Ostatnia aktywność, która wciąż się rozwijała, gdy Thorn publikował, następuje po trzech wcześniejszych falach, które badacze powiązali z tą samą podatnością na słabą entropię, wpływającą na niektóre wersje oprogramowania Coldcard.
Nowe czyszczenia trwają
Thorn powiedział, że jego najnowsza analiza zidentyfikowała 218 transakcji dotyczących 462 podejrzanych adresów ofiar między blokami Bitcoin 960778 a 969792. Transakcje przeniosły 388,93 BTC, wyceniane na około 24,4 miliona dolarów według obecnych stawek, do 216 adresów docelowych, z których prawie wszystkie zostały właśnie utworzone i nie miały wcześniejszej historii transakcji.
„To są PRAWDPODOBNE ofiary Coldcard — pasują do kształtu wrażliwych utxos Coldcard, a podwyższony wzór transakcji daje mi dużą pewność, że to kolejna fala ataku,” napisał.
Analityk podkreślił, że nie miał jeszcze bezpośredniego potwierdzenia od ofiar, dlatego celowo użył słowa „prawdopodobne” z ostrożności. Szybko również poprawił listę adresów docelowych, usuwając sześć adresów, które, jak powiedział, już wcześniej otrzymywały i wydawały BTC, zanim incydent z Coldcard rozpoczął się 30 lipca. Te sześć stanowiło nieco ponad 5 BTC z wcześniej obliczonej kwoty.
Ponadto, Thorn usunął 89 adresów multisig ze swojej listy, ponieważ żaden z nich nie pojawił się w pierwszych trzech falach, co zmniejszyło liczbę przetrwałych adresów do 709 i 448,73 ($28,1 miliona) w obu potwierdzonych i wciąż oczekujących transakcjach.
Zachęcał użytkowników do natychmiastowego przeniesienia swoich funduszy z dotkniętych urządzeń Coldcard i używania wyższych opłat transakcyjnych, a także ostrzegł, że niektóre z oczekujących transakcji miały włączoną opcję Replace-by-Fee, czyli RBF, co oznacza, że ofiary, których transakcje wciąż znajdowały się w mempoolu, mogły mieć bardzo krótką szansę na przelicytowanie napastnika i odzyskanie swoich funduszy przed potwierdzeniem.
Wcześniejsze fale wciąż nie wydane
Galaxy Research oszacowało, że pierwsze trzy potwierdzone fale wyczerpały 1,367 BTC, o wartości około 85,7 miliona dolarów, z 4,585 adresów Bitcoin. Według firmy, te fundusze nie zostały wydane i wciąż znajdują się w portfelach kontrolowanych przez napastników, co sugeruje skoordynowaną operację, a nie oportunistyczną kradzież.
Jednak nie każdy skradziony BTC pozostał na miejscu. Jedna ofiara posiadająca blisko 30 BTC miała 17 z nich przekierowanych przez ThorChain do kasyna online Duel, które podobno powiedziało ofierze, aby złożyła raport na policję, zanim rozważy zamrożenie.
Atak wynika z luki w zabezpieczeniach dotyczącej kluczy generowanych na niektórych wersjach oprogramowania Coldcard wydanych po marcu 2021 roku. Coinkite, producent portfela Coldcard, potwierdził, że klucze utworzone na dotkniętych urządzeniach Mk3, Mk4, Mk5 i Q są narażone, a chociaż nowsze poprawione oprogramowanie zatrzymało problem dla przyszłych kluczy, nie może zabezpieczyć starych. Powiedział również, że zniszczył cały pozostały wrażliwy zapas, wstrzymał wysyłki i współpracuje z klientami oraz organami ścigania, aby zidentyfikować osoby odpowiedzialne za kradzież.
Ponadto firma zaleciła użytkownikom natychmiastowe przejście na nowy klucz na urządzeniu, które nie jest dotknięte, przy czym Thorn zauważył, że każdy adres Coldcard z pojedynczym podpisem wygenerowany w wrażliwych warunkach ostatecznie zostanie wyczyszczony.
Źródło: CryptoPotato
