Polowanie na hakera Coldcard. Złodziej Fali 1 może być znany FBI

Bitcoin Magazine

Polowanie na hakera Coldcard. Złodziej Fali 1 może być znany FBI

Organy ścigania mogą już wiedzieć, kto opróżnił ponad tysiąc Bitcoinów z portfeli Coldcard w pierwszej i największej fali wycieków z lipca 2026 roku. Śledztwo Blocka uważa, że prześledzili działania atakującego na łańcuchu do płatnego konta u głównego dostawcy danych blockchain, którego wewnętrzne logi pasowały do wzoru kradzieży z "nadzwyczajną precyzją."

PSA: Atak trwa, celując w słabe klucze prywatne generowane na urządzeniach tak starych jak MK2 z oprogramowaniem układowym 4.0.1 i nowszym. Jeśli możesz mieć jeden, sprawdź to ponownie i przenieś środki jak najszybciej. Zobacz zalecenia Coinkite i stronę statusu.

Monety z tej fali—1,082.65 BTC—wciąż leżą nietknięte na adresie atakującego, co daje nadzieję, że możliwe będzie odzyskanie ich przez ofiary i prawowitych właścicieli tej pierwszej fali skradzionych bitcoinów. Pytanie teraz brzmi, kto jest hakerem i czy ten sam trop prowadzi do wyrafinowanego zewnętrznego sprawcy, czy też pięcioletni błąd entropii, który umożliwił kradzież, był czymś bliższym wewnętrznemu "ataku emerytalnemu", o którym sam Coinkite kiedyś ostrzegał.

Co wiemy

30 lipca 2026 roku, napastnik zaczął systematycznie wyciągać Bitcoiny z portfeli sprzętowych Coldcard, które generowały klucze pod podatnym oprogramowaniem, błąd, który pozostawał nieodkryty przez lata. Tylko pierwsza i największa fala przeniosła 1,082.65 BTC. Następne fale nastąpiły, z szacunkami przekraczającymi 2k BTC. Alex Thorn z Galaxy Research śledził tę aktywność poprzez połączenie analizy wzorców na łańcuchu i dobrowolnych raportów ofiar. Na początku sierpnia potwierdzone i szacowane straty w wielu falach przekroczyły 1,800 BTC z ponad 5,000 adresów, chociaż dokładne ostateczne sumy są nadal dopracowywane w miarę napływu nowych raportów. W przeliczeniu na dolary, potwierdzono kradzież około 118 milionów dolarów.

Thorn publicznie omawiał możliwość, że organy ścigania już mają konkretne informacje na temat operatora stojącego za największą transzą. W segmencie Bitcoin Policy Institute, prowadzonym na kanale YouTube Bitcoin Magazine, Thorn stwierdził: „Tożsamość fali pierwszej, tożsamość napastnika, może być znana organom ścigania.” Dodał, że Fala 1 pozostaje największą pojedynczą częścią zidentyfikowaną do tej pory, a monety wciąż znajdują się na adresie napastnika, i zauważył, że wzór Fali 2 wygląda na wystarczająco podobny, aby mógł obejmować tego samego aktora. Fala 2 dodaje kolejne 76 lub więcej bitcoinów do całości.

Głównym źródłem twierdzenia, że tożsamość hakera może być znana, jest Clay Garrett, lider inżynierii w Block pracujący nad Bitkey. 31 lipca 2026 roku Garrett opublikował wyniki z dochodzenia Block:

„Podczas naszego dochodzenia dotyczącego drain Coldcard wczoraj, zidentyfikowaliśmy nietypowy wzór w zrzutach. Ten wzór doprowadził nas do hipotezy, która od tego czasu została potwierdzona: operator użył płatnego konta u znanego dostawcy usług blockchain, aby zapytać o adresy źródłowe i wykonać inne związane z tym działania podczas zrzutów.”

„Skontaktowaliśmy się bezpośrednio z dostawcą. Ich wewnętrzne logi pasowały do podejrzewanego przepływu pracy z niezwykłą precyzją, w tym liczby, czasu i sekwencji żądań. Dostawca świadczył swoje standardowe usługi w odpowiedzi na żądania, które nie ujawniały ich szerszego celu. Nie widzieliśmy żadnych dowodów na to, że dostawca świadomie uczestniczył w lub ułatwiał podejrzaną kradzież.” powiedział Garrett, dodając; „Dzielimy się odpowiednimi informacjami z odpowiednimi władzami. Przekażemy dalsze aktualizacje, gdy ich udostępnienie nie zakłóci dochodzenia.”

Thorn i inni zauważyli, że późniejsze, mniejsze fale pokazują różne wzorce operacyjne — niektóre szybkie, oportunistyczne wycieki, po których następuje szybkie pranie — co sugeruje, że dodatkowi aktorzy mogli odwrócić inżynierię tej samej słabej przestrzeni nasion po początkowym ujawnieniu publicznym. Potwierdzone wycieki zgłaszane przez użytkowników wydają się znacznie spowolnione po 6 sierpnia, chociaż wiele potencjalnie wrażliwych nasion wygenerowanych na dotkniętym oprogramowaniu między 2021 a poprawką z lipca 2026 roku pozostaje w ryzyku, dopóki użytkownicy nie dokonają migracji.

Atak emerytalny?

Charakter awarii doprowadził do teorii spiskowych dotyczących ataków wewnętrznych, o których Coinkite sam kiedyś publicznie dyskutował. W październiku 2021 roku oficjalne konto COLDCARD zdefiniowało „atak emerytalny” jako scenariusz „gdy twórcy projektu mogą mieć ‘błąd’ w generowaniu entropii do późniejszego odzyskania.”

Krytyczna zmiana weszła do bazy kodu 1 marca 2021 roku w commicie zatytułowanym „Pierwsze podejście z libNgU” (b18723dd). Ten commit zastąpił pozostałą kryptografię pochodzącą z Trezora oraz kod BIP-39 nową biblioteką, libngu, i przekształcił generację kluczy. Zamierzonym rezultatem było to, że wywołanie losowości rozwiązywało się do prawdziwego generatora liczb losowych sprzętu STM32. Jednak błąd przekierował wywołanie do oprogramowania Yasmarang PRNG MicroPythona, co skutkowało efektywnym załamaniem entropii do około 40 bitów w starszych modelach i około 72 bitów w nowszych. Oznaczało to, że prywatne klucze Bitocin generowane były w zasadzie do odgadnięcia przez nowoczesny sprzęt komputerowy. Ta zamiana bibliotek kryptograficznych została wprowadzona do bazy kodu przez Doc-Hexa, znanego również jako Peter Gray, dyrektora technicznego Coinkite.

Ruch ten był prawdopodobnie napędzany presją licencyjną, według CEO i założyciela Foundation Devices, Zacha Herberta, chociaż Coinkite zaprzeczył, że to była główna motywacja dla zmiany kodu, mówiąc: „COLDCARD musiał dokonać tej zmiany, aby przejść na libsecp256k1; zmiana licencji jest w tym kontekście nieistotna. libsecp256k1 to standardowa biblioteka używana przez Bitcoin Core.”

Coldcard używał kodu pochodzącego z Trezora na licencji open source GPLv3. Po tym, jak Foundation Devices rozdzielił związane materiały, Coinkite dążył do przeniesienia pozostałych komponentów do bardziej restrykcyjnego układu MIT + Commons Clause, który ograniczał komercyjne ponowne wykorzystanie. Przepisanie było duże i miało złożone cele inżynieryjne; to właśnie ta integracja, można powiedzieć, pozostawiła cichą awarię w ścieżce entropii.

Sceptycyzm dotyczący migracji z biblioteki kryptograficznej Trezora pojawił się już 7 kwietnia 2021 roku, od członka grupy Coinkite na Telegramie, który napisał: „czy naprawdę chcemy zastąpić wieloletni kod TrezorCrypto, który był intensywnie badany przez białe kapelusze, takie jak Johoe, i testowany pod kątem penetracji przez wallet.fail”, dodając „switch może być utalentowanym pseudonimowym programistą, ale ich historia commitów jest słaba.” Krytyka była jednak niewystarczająca i szybko została zignorowana przez NVK, który skrytykował bibliotekę Trezora jako „shitcoin shitshow.” Ironią jest to, że dzielenie się tym kodem z szerszym rynkiem kryptowalut, na otwartej licencji oznaczało, że biblioteka kryptograficzna Trezora miała znacznie głębszy przegląd kodu niż Libngu kiedykolwiek uzyska, nawet lata później.

Switch i Peter Gray znany jako Doc-Hex

Wymiana bibliotek kryptograficznych, która wprowadziła błąd, została wprowadzona do bazy kodu przez Doc-Hexa, dyrektora technicznego Coinkite, znanego również jako Peter D. Gray. Zastąpił on bibliotekę kryptograficzną Trezor GPLv3 biblioteką Libngu, mało znaną bazą kodu stworzoną przez tzw. „Switch”, pseudonim, który do momentu stworzenia Libngu nie miał oczywistej historii. Konto Switch pojawiło się na X 3 sierpnia 2019 roku z wzmianką o DEFCON, międzynarodowej konferencji hakerskiej, wydarzeniu, w którym zazwyczaj uczestniczą inżynierowie zajmujący się cyberbezpieczeństwem wszelkiego rodzaju.

16 października 2020 roku Switch podziękował Doc-Hexowi na X za połączenie jego kodu; „Dzięki za merge @DocHex … Tworzę kolejną bibliotekę bitcoinową. Może być przydatna w @COLDCARDwallet pewnego dnia.” Kilka dni później Switch opublikował link do Libngu, dumny z tego, że stworzył „przydatną rzecz.”

Jednak tutaj zaczyna się robić dziwnie. Według badań współpracownika Bitcoin core Jamesa O’Beirne’a, Switch i Peter D. Gray podpisali zobowiązania kodowe tymi samymi kluczami GPG. O’Beirne wykazał poprzez podpisy GPG, że dziesiątki zobowiązań autorstwa switck były podpisane osobistym kluczem Petera D. Graya, współzałożyciela Coinkite i CTO, który działa również jako DocHex. Zach Herbert również twierdził, że numery telefonów kończące się tymi samymi dwiema cyframi były powiązane zarówno z kontami DocHex, jak i switck na X (post). Dodatkowi badacze wskazali na pasujące wzorce rejestracji DNS.

Ani Gray, ani Coinkite nie odnieśli się publicznie do ustaleń dotyczących podpisów GPG w momencie pisania tego tekstu, a oni nie odpowiedzieli na prośbę o komentarz w tej sprawie. Konto Switch jest nadal aktywne do dziś, wprowadzając zmiany w kodzie do Libngu tak niedawno, jak 17 sierpnia 2026 roku.

Wielu w branży Bitcoin traktuje to jako pewnego rodzaju pośredni dowód na niewłaściwe postępowanie. Dlaczego miałbyś się wysilać, aby stworzyć nym tylko dla konkretnej biblioteki kryptograficznej? To zostało odebrane jako pewnego rodzaju dowód złych intencji; jednak głębsza analiza sugeruje coś innego. Gdyby Gray naprawdę miał na celu oszukać użytkowników Coldcard za pomocą tego błędu RNG, czy naprawdę podpisywałby zmiany swoim osobistym kluczem GPG? Czy ktoś mógłby być na tyle przebiegły, aby przez lata ukrywać błąd, czekając na jego przyjęcie; a jednocześnie zapomnieć stworzyć dedykowany podpis GPG dla tymczasowego nym? Nie sądzę, że to się zgadza.

Bardziej prawdopodobne jest, że była to losowa tożsamość stworzona na DEFCON przez Graya, prawdopodobnie w wyniku przypadkowej paranoi. Tożsamość, którą kontynuował używać w niektórych projektach przez lata. Tożsamości pseudonimowe nie są w końcu niczym niezwykłym w kręgach deweloperów Bitcoin. Sam Satoshi pozostaje najsłynniejszym przykładem. I tak, sama w sobie, ta więź między Grayem a Switchem nie stanowi wiele w poszukiwaniach hakera Coldcard.

Współpracownicy MicroPython

Kilku innych deweloperów open source zostało ostatnio zidentyfikowanych jako mających wpływ na kod, który odegrał rolę w błędzie RNG Coldcard.

Analityk danych LaurentMT zbadał stronę MicroPython ścieżki RNG. MicroPython to zwinna i otwartoźródłowa implementacja Pythona 3, zaprojektowana do działania na mikrokontrolerach i komputerach o ograniczonych zasobach. Ostatecznie oprogramowanie układowe Coldcard wywołało pseudo-losowy generator liczb (PRNG) Yasmarang MicroPythona w wyniku błędu, co prowadziło do generowania niskiej entropii.

Zmiany w logice PRNG w MicroPython rozpoczęły się 20 sierpnia 2020 roku, kiedy to użytkownik o nazwie 'mirko' otworzył zgłoszenie (#6347) na GitHubie. Skarżył się, że jego sprzęt ESP32 zawsze zwracał ten sam wynik, gdy wywoływał funkcję 'random.choice()' w kodzie w określony sposób. Mirko oczekiwał losowych wyników zamiast tego. Zgłoszenie na GitHubie rejestruje dyskusję w ciągu następnych miesięcy na temat właściwego sposobu obsługi związanej logiki i oczekiwanego zachowania, które Mirko ujawnił jako mające nieintuicyjny design.

Laurent zauważa, że "robert-hh zainicjował [Pull Request] implementujący zmianę w seeding PRNG" 22 sierpnia 2020 roku. Dpgeorge, konserwator MicroPython, później 29 października 2020 roku, połączył nieco zmodyfikowaną wersję tego pull requestu z głównym repozytorium, implementując "(UID+SysTick+RTC), aby rozwiązać niektóre ograniczenia w rozwiązaniu robert-hh."

Zmiany w tym krytycznym kodzie związanym z RNG były zatem w głównym repozytorium MicroPython, gdy Coldcard go forkował, aby użyć go w Libngu, jednak przed oficjalnym wydaniem nowej wersji biblioteki przez MicroPython. Najwyraźniej uważane jest za ryzykowne budowanie na podstawie głównej wersji repozytorium oprogramowania, które prawdopodobnie ewoluuje wraz ze zmianami w kodzie, zamiast budować na podstawie oficjalnej, stabilnej wersji wydania. Nowe wydanie MicroPython nie pojawiło się aż do 3 lutego 2021 roku, z wersją v1.14. Na dodatek, zmiana logiki RNG została tylko krótko wspomniana w ogłoszeniu o wydaniu, mówiąc „moduł urandom zrandomizuje swoje ziarno przy imporcie na portach stm32, esp8266, esp32 i rp2.”

Źródło: BitcoinMagazine