Coldcard-hacker fortsætter med at overføre de stjålne 30 BTC til en ny tegnebog

Hackeren holder sig i ro, men er så i gang igen

For blot få timer siden dukkede hackeren bag den største del af tyveriet, der sidder på 2.055 BTC til en værdi af ca. 130 millioner dollar, op igen for at overføre 30.185 BTC, til en værdi af ca. 1,94 millioner dollar, til en nyoprettet wallet. Andre onchain-detektiver bekræftede overførslen med få minutters mellemrum og beskrev den som hackerens første aktivitet siden det oprindelige tyveri.

Overførslen er lille i forhold til hackerens samlede beholdning og udgør cirka 1,5 % af de stjålne midler, men den er betydningsfuld, fordi den bryder et mønster af inaktivitet, der havde fået efterforskere og det bredere Bitcoin-samfund til at holde øje med en ellers uberørt bunke af stjålne coins.

Bitcoin.com News har tidligere rapporteret, at tyveriet, der ramte Coldcard Mk3-enheder med sårbar firmware, steg til over 116 millioner dollars fordelt på mere end 1.800 BTC, der blev trukket fra over 5.200 adresser, da yderligere bølger af udtømning blev opdaget i ugerne efter den første afsløring.

Hvad overførslen potentielt betyder

Onchain-analytikere betragter ofte en inaktiv hackers første bevægelse af stjålne midler som et tidligt tegn på et forsøg på at hæve pengene, da angribere typisk er nødt til at flytte mønter gennem en række tegnebøger, mixere eller krydskædebroer, før de forsøger at konvertere dem til andre aktiver eller fiat-valuta uden straks at tiltrække opmærksomhed.

Situationen for Coldcard-hackeren kompliceres af, hvor nøje de stjålne midler er blevet overvåget, i betragtning af at han tidligere modtog et frækt tilbud fra en anden part, der foreslog at hjælpe med at hvidvaske midlerne direkte på blockchainen – en usædvanlig offentlig henvendelse i lyset af den omfattende opmærksomhed, de involverede tegnebøger har modtaget fra det bredere sikkerhedsmiljø.

Derudover har on-chain-efterforskeren ZachXBT udtalt, at han ikke har planer om personligt at spore de stjålne midler, men overlader det arbejde til andre forskere og den håndfuld blockchain-analyseprofiler, der har holdt nøje øje med tegnebøgerne, siden udnyttelsen først kom for dagen.

En påmindelse om sårbarhedens omfang

Den underliggende sårbarhed kan spores tilbage til en firmwarefejl i Coldcard-enheder fremstillet af den Toronto-baserede producent Coinkite, hvilket medførte, at visse enheder genererede seeds med kun en brøkdel af den tilsigtede kryptografiske tilfældighed. Det efterlod langtidsejere, der havde oprettet tegnebøger på de berørte firmwareversioner, udsat for brute-force-angreb, der kunne rekonstruere deres private nøgler.

Bitcoin.com News har rapporteret, at canadiske brugere alene tegnede sig for omkring en fjerdedel af alle tilskrivelige tab – en detalje, der stemmer overens med Coinkites egen base i Toronto og tyder på, at de berørte enheder muligvis har været mere udbredt på det marked.

Den fornyede aktivitet fra en af udnyttelsens største enkeltmodtagere vil sandsynligvis genoplive opmærksomheden omkring en historie, der var begyndt at stilne af, efterhånden som tempoet i de nye udtømninger aftog. For ofre, der stadig håber på en vej til genopretning, beviser en hackers flytning af midler, at mønterne stadig eksisterer og kan spores i en offentlig hovedbog, men det øger også sandsynligheden for, at i det mindste en del af de stjålne bitcoin snart bliver langt sværere at følge.

I løbet af de kommende dage vil eksperter sandsynligvis holde nøje øje med modtager-walleten for eventuelle yderligere bevægelser, da efterfølgende overførsler ofte afslører, om en hacker tester en hvidvaskningsrute, konsoliderer midler forud for et større træk eller reagerer på et eller andet pres udefra.