ZachXBT odmítá vysledovat hack na Coldcard v hodnotě 88 milionů dolarů

ZachXBT tvrdí, že má „menší povinnost“ pomáhat

Tento plodný on-chainový vyšetřovatel, známý odhalením hackerů stojících za některými z největších krádeží v kryptosvětě, zveřejnil na X, že v současné době nemá v plánu incident s Coldcard sledovat ani vyšetřovat. Uvedl, že se věnuje především ekosystémům, které oceňují jeho práci, a dodal, že zastánci bitcoinu nejsou dárci ani podporovatelé jeho vyšetřování, a proto má menší povinnost pomáhat.

Tato poznámka přišla v době, kdy útok na Coldcard vstoupil do pátého dne a celková částka škod stále rostla. ZachXBT již v minulosti pracoval bez nároku na odměnu na významných případech a jeho příspěvek naznačuje, že existuje velký rozpor mezi dobrou vůlí, kterou mu bitcoinová komunita projevila, a úsilím, které se od něj očekává, když dojde k problémům.

Dosavadní vývoj úniku dat z Coldcard

Zranitelnost souvisí s chybou firmwaru v hardwarových peněženkách kanadského výrobce Coinkite. Chyba postihla zařízení Coldcard Mk3 s verzemi firmwaru 4.0.1 až 4.1.9, což způsobilo, že některé peněženky generovaly entropii seedu pomocí softwarového generátoru náhodných čísel namísto vyhrazeného hardwarového čipu – tato vada umožnila odhadnout některé seedy.

První vlna útoku přišla 30. července, kdy bylo během necelých 30 minut odcizeno přibližně 594 BTC, jejichž hodnota v té době činila asi 38 milionů dolarů, z téměř 500 neaktivních adres. Společnost Coinkite vydala opravený firmware do dvou dnů, ale škody se dále šířily a do 2. srpna společnost Galaxy Research zaznamenala celkovou částku 1 367 BTC v hodnotě 88,6 milionu dolarů, které byly odcizeny z 4 585 adres během tří samostatných vln útoků.

Rychlost a přesnost krádeží podnítily spekulace, že automatizované nástroje, možná s podporou umělé inteligence, pomohly útočníkovi identifikovat a vyprázdnit zranitelné adresy během několika minut po každém útoku. Krádeže se dále rozšiřovaly, i když vklady z ukradených prostředků na burzách prudce vzrostly a starší, dříve neaktivní BTC spojené s tímto případem se začaly opět pohybovat.

Uchovávání dat přispívá k negativní reakci

Způsob, jakým společnost Coinkite zvládala následky incidentu, se stal předmětem vlastní kontroverze, protože společnost zaslala e-mail na každou zákaznickou adresu, kterou dokázala dohledat ve svých záznamech o obchodech a odběru newsletterů – některé z nich sahaly až do roku 2019 –, aby zákazníky varovala před touto chybou.

To bylo v rozporu s dřívějšími tvrzeními generálního ředitele Rodolfa Novaka, že Coinkite maže údaje o zákaznících 90 dní po nákupu a nabízí možnosti anonymního nákupu. Společnost Coinkite později přiznala, že uchovává e-mailové adresy z nákupů na dobu neurčitou, a uznala, že nemá zavedenou politiku mazání těchto údajů – toto odhalení vyvolalo vlnu kritiky, která se týkala samotného incidentu.

Novak obhajoval celkovou bezpečnostní bilanci společnosti s poukazem na to, že konkurenti čelí narušením bezpečnosti pravidelně a že Coinkite tuto záležitost bere velmi vážně. Přesto tato epizoda již začala podkopávat důvěru ve vlastní správu klíčů a mohla by přimět opatrnější investory k návratu k fondům obchodovaným na burze namísto správy vlastních klíčů.

Celá kauza se také přenesla do dramatu v blockchainu, které přesahuje samotnou krádež. Přímo na blockchainu bitcoinu byla zveřejněna drzá nabídka na praní bitcoinů určená hackerovi, čímž se případ proměnil ve veřejnou podívanou odehrávající se v reálném čase na sociálních médiích i v datech blockchainu.

Vzhledem k tomu, že se z této záležitosti stáhli takoví těžké váhy jako ZachXBT, břemeno pátrání po ukradených 1 367 BTC nyní leží především na firmách jako Galaxy Research, která zveřejňuje aktualizace po jednotlivých vlnách podle toho, jak se vyvíjí aktivita peněženky útočníka. Objevily se zprávy, že chyba entropie postihující zařízení Coldcard Mk3 sahá až k verzi firmwaru z března 2021, což znamená, že jakýkoli seed peněženky vygenerovaný v této verzi za více než čtyři roky může být stále ohrožen, dokud majitelé nepřepnou na nový seed v opraveném firmwaru.