Tyverier af Coldcards stiger til 88 mio. dollar, mens indskud på børserne skyder i vejret, og gamle BTC-beholdninger flyttes

En tredje bølge udvider skaden

Galaxy Research afslørede på X, at de tre formodede bølger tømte omkring 4.585 adresser og tilegnede sig bitcoin til en værdi af cirka 88,6 millioner dollar på tidspunktet for analysen. Forskningsgruppen advarede om, at resultaterne er foreløbige og udelukkende baseret på offentligt tilgængelige data fra Bitcoin-blockchain. Et andet dashboard ved navn Coldcard Sweep Watch anslår tyveriet til 1.158,8480 BTC kl. 17.00 EDT lørdag.

Ifølge Galaxys forskere var den første bølge den største, idet den den 30. juli på 41 minutter tømte 1.082,65 BTC fra 1.195 adresser. En anden operation indsamlede 76,16 BTC fra 1.478 adresser den følgende dag. Den tredje bølge strakte sig fra den 31. juli til den 1. august og tømte omkring 208 BTC fra 1.912 adresser.

Den tredje operation lignede ikke en simpel fortsættelse af de to første. Bølge 1 og 2 kanaliserede midlerne gennem et lille antal indsamlings- og opbevaringsadresser. Bølge 3 sendte i stedet ofrenes midler til 293 separate P2WSH-opbevaringssteder, en type bitcoin-adresse, der kan skjule sine udbetalingsbetingelser, indtil mønterne flyttes.

De separate vaults gør det sværere for udefrakommende at gruppere midlerne sammen. Galaxy forklarede, at ændringen kunne tyde på, at den oprindelige angriber genopbyggede operationen, efter at de første udtømninger blev offentliggjort, eller at en anden part fandt den samme sårbare pulje af adresser. Blockchain-optegnelser alene kan ikke afgøre, hvilken forklaring der er korrekt.

Galaxy knyttede aktiviteten til en sårbar Coinkite Coldcard-firmwareudgivelse fra den 17. marts 2021. Ingen af de berørte mønter blev oprettet før denne udgivelse, og medianadressen for ofrene havde været inaktiv i omkring 3,5 år, hvilket stemmer overens med den adfærd, man forventer af langvarig cold storage.

Indskud på børser tilføjer et andet signal

Mens forskerne kortlagde de formodede tyverier, registrerede centraliserede kryptovalutabørser en kraftig stigning i bitcoin-indskud den 31. juli. Data delt af Sani fra Timechainindex.com viste en nettoindstrømning til børserne på 11.163 BTC i løbet af dagen.

River modtog anslået 3.679 BTC, efterfulgt af Binance med 3.224 BTC, Kraken med 2.848 BTC og OKX med 1.291 BTC. De centraliserede børser modtog samlet 15.205 BTC fra uidentificerede adresser, hvilket øgede deres rapporterede beholdninger markant på én enkelt dag.

Store indstrømninger til børser tiltrækker ofte opmærksomhed, fordi mønter, der indsættes på handelsplatforme, kan være bestemt til salg, som sikkerhed eller til interne overførsler mellem depotkonti. Dataene beviser ikke, at indskuddene den 31. juli stammede fra Coldcard-brugere, angribere eller nogen, der reagerede direkte på hændelsen.

Tidspunktet er dog stadig ganske bemærkelsesværdigt. En sikkerhedsskræk kan helt sikkert få indehavere til at omorganisere deres opbevaring, flytte mønter til børser eller opgive wallet-opsætninger, de ikke længere stoler på. Det kan også falde sammen med uafhængige institutionelle overførsler, kundeindskud og børsregnskaber, hvilket gør stigningen i tilstrømningen vigtig, men ikke afgørende.

Mange inaktive Bitcoin-adresser begynder at bevæge sig

En tredje udvikling viste sig, da en lang række adresser oprettet mellem 2010 og 2017 begyndte at flytte mønter efter ni til 16 års inaktivitet, ifølge statistikker, som Bitcoin.com News har indsamlet fra btcparser.com. Synlige transaktioner fra 30. juli til 1. august udgjorde i alt ca. 306 BTC, herunder gentagne overførsler på 10 BTC og 30 BTC.

En adresse oprettet den 2. juli 2010 flyttede en gammel coinbase-transaktion på over 50 BTC. Andre transaktioner omfattede 37,8 BTC fra en adresse fra 2014 og en koordineret gruppe af overførsler fra tre tegnebøger oprettet den 29. juli 2017. Disse tre tegnebøger overførte 37,5 BTC og to separate beløb på 30 BTC i samme blok.

Den inaktive aktivitet kan ikke knyttes til Coldcard-tømningerne ud fra de tilgængelige data. Faktisk præciserede Galaxy Research, at de formodede ofres coins alle blev oprettet efter udgivelsen af den sårbare firmware i 2021, mens mange af de nyligt aktive, inaktive tegnebøger havde indeholdt bitcoin i årevis, før Coldcard overhovedet eksisterede.

Ligesom den børsaktivitet, Sani rapporterede om, kan indehavere af bitcoin (BTC), der har været inaktive i lang tid, dog være i tvivl om deres sikkerhedsopsætninger og flytte midler til alternativer, herunder depot-tjenester.

Så vidt vi ved, har Galaxy Research oplyst, at de overvåger syv opbevaringsadresser fra de to første bølger og 293 opbevaringssteder fra den tredje. Den første udbetaling fra disse opbevaringssteder kunne afsløre deres scripts og vise, om de samme signeringsnøgler eller udbetalingsstrukturer forekommer på tværs af flere adresser.

På redaktionstidspunktet var stemningen online fortsat stærkt negativ, idet BTC handlede under 63.000 $, nærmere bestemt 62.326 $ pr. mønt.