O posibilă a patra undă de atacuri cibernetice care vizează portofele Bitcoin generate de Coldcard, afectate de o vulnerabilitate, pare să fie în desfășurare. Alex Thorn, cercetător blockchain, a avertizat pe 3 august că aproape 449 BTC au fost transferați din sute de adrese într-un interval de aproximativ două ore și jumătate. Activitatea recentă, care se desfășura în momentul publicării avertismentului de către Thorn, urmează după trei valuri anterioare, pe care cercetătorii le-au legat de aceeași problemă de entropie slabă care afectează anumite versiuni de firmware Coldcard.
Noi Transferuri Continui
Thorn a declarat că analiza sa cea mai recentă a identificat 218 tranzacții care afectează 462 de adrese suspectate de a fi victime, între blocurile Bitcoin 960778 și 969792. Tranzacțiile au mutat 388.93 BTC, evaluați la aproximativ 24.4 milioane USD la cursurile curente, către 216 adrese de destinație, aproape toate fiind nou create și fără istoric de tranzacții anterior.
„Aceștia SUNT PROBABIL victime Coldcard - se potrivesc cu profilul UTXO-urilor vulnerabile Coldcard, iar modelul sporit de tranzacții îmi dă o încredere ridicată că este o altă undă de atac”, a scris el. Analistul a subliniat că nu are încă o confirmare directă de la victime, motiv pentru care a folosit în mod deliberat termenul „probabil” din prudență. De asemenea, a corectat rapid lista de destinații, eliminând șase adrese, despre care a spus că primeau și cheltuiau deja BTC cu mult înainte de începerea incidentului Coldcard pe 30 iulie. Cele șase adrese reprezentau puțin peste 5 BTC din cifra calculată anterior.
Mai mult, Thorn a eliminat 89 de adrese multisig din lista sa, deoarece niciuna nu apăruse în primele trei valuri, ridicând numărul de adrese la 709 și suma la 448.73 BTC (28.1 milioane USD) pe atât tranzacții confirmate, cât și în așteptare. El a îndemnat utilizatorii să își mute imediat fondurile de pe dispozitivele Coldcard afectate și să utilizeze comisioane de tranzacție mai mari, avertizând, de asemenea, că unele dintre tranzacțiile în așteptare aveau activat Replace-by-Fee (RBF), ceea ce înseamnă că victimele ale căror tranzacții se aflau încă în mempool ar putea avea o șansă scurtă de a supralicita atacatorul și de a-și recupera fondurile înainte de confirmare.
Valurile Anterioare Încă Necheltuite
Galaxy Research a estimat că primele trei valuri confirmate au drenat 1.367 BTC, evaluați la aproximativ 85.7 milioane USD, din 4.585 de adrese Bitcoin. Conform firmei, acești fonduri nu au fost cheltuite și se află încă în portofele controlate de atacatori, sugerând o operațiune coordonată, mai degrabă decât furt oportunist.
Cu toate acestea, nu toți BTC-urile furate au rămas în același loc. O victimă care deținea aproape 30 BTC a avut 17 dintre ei rutați prin ThorChain către cazinoul online Duel, care, potrivit rapoartelor, i-a spus victimei să depună o plângere la poliție înainte de a putea considera o înghețare.
Atacul provine dintr-o vulnerabilitate care afectează semințele generate pe anumite versiuni de firmware Coldcard lansate după martie 2021. Coinkite, producătorul portofelului Coldcard, a confirmat că semințele create pe dispozitivele Mk3, Mk4, Mk5 și Q afectate sunt expuse și, deși firmware-ul nou reparat a oprit problema pentru semințele viitoare, nu le poate securiza pe cele vechi. De asemenea, a declarat că a distrus tot inventarul vulnerabil rămas, a oprit expedierile și lucrează cu clienții și cu forțele de ordine pentru a identifica persoanele responsabile de furt. În plus, firma a sfătuit utilizatorii să migreze imediat la o nouă sămânță pe un dispozitiv neafectat, Thorn subliniind că fiecare adresă Coldcard cu o singură semnătură generată în condiții vulnerabile va fi în cele din urmă drenată.