ZachXBT nægter at spore hacket mod Coldcard på 88 mio. dollar

ZachXBT siger, at han har »mindre forpligtelse« til at hjælpe

Den produktive onchain-efterforsker, der er kendt for at afsløre hackerne bag nogle af kryptovalutaens største tyverier, skrev på X, at han i øjeblikket ikke har planer om at overvåge eller spore Coldcard-hændelsen. Han sagde, at han bruger sin tid på økosystemer, der værdsætter hans arbejde, og tilføjede, at Bitcoin-maxi'er hverken er donorer eller tilhængere af hans efterforskninger, så han har mindre forpligtelse til at hjælpe.

Bemærkningen kom, da Coldcard-hackerangrebet gik ind i sin femte dag, og det samlede beløb fortsatte med at stige. ZachXBT har tidligere arbejdet pro bono på store sager, og hans indlæg tyder på, at der er en stor kløft mellem den velvilje, som Bitcoins community har vist ham, og den indsats, han bliver bedt om at yde, når tingene går galt.

Coldcard-hackerangrebet indtil videre

Sårbarheden kan spores tilbage til en firmwarefejl i hardware-wallets fra den canadiske producent Coinkite. Fejlen påvirkede Coldcard Mk3-enheder, der kørte versionerne 4.0.1 til 4.1.9, hvilket medførte, at nogle tegnebøger genererede seed-entropi via en softwarebaseret tilfældighedsgenerator i stedet for hardwarens dedikerede chip – en fejl, der gjorde visse seeds lette at gætte.

Den første bølge ramte den 30. juli, da ca. 594 BTC, til en værdi af omkring 38 millioner dollars på det tidspunkt, blev tømt fra tæt på 500 inaktive adresser på under 30 minutter. Coinkite udsendte en opdateret firmware inden for to dage, men skaden fortsatte med at brede sig, og den 2. august havde Galaxy Research opgjort det samlede beløb til 1.367 BTC, svarende til 88,6 millioner dollar, som var blevet trukket fra 4.585 adresser fordelt på tre separate angrebsbølger.

Tempoet og præcisionen i tyverierne gav anledning til spekulationer om, at automatiserede værktøjer, muligvis understøttet af AI, hjalp angriberen med at identificere og tømme sårbare adresser inden for få minutter efter hver angrebsbølge. Tyveriet fortsatte med at vokse eksplosivt, selv da indskud på børserne fra de stjålne midler steg kraftigt, og ældre, tidligere inaktive BTC knyttet til sagen begyndte at bevæge sig igen.

Opbevaring af data forstærker modreaktionen

Coinkites håndtering af eftervirkningerne er blevet en kontrovers i sig selv, da virksomheden sendte e-mails til alle kundeadresser, den kunne finde i sine butiks- og nyhedsbrevsregistre – hvoraf nogle stammede helt tilbage fra 2019 – for at advare dem om fejlen.

Dette stod i modstrid med tidligere udtalelser fra CEO Rodolfo Novak om, at Coinkite slettede kundedata 90 dage efter et køb og tilbød anonyme købsmuligheder. Coinkite indrømmede senere, at det opbevarer e-mailadresser fra køb på ubestemt tid og erkendte, at det mangler en sletningspolitik for disse data – en afsløring, der udløste sin egen bølge af kritik, uafhængigt af selve hacket.

Novak har forsvaret virksomhedens generelle sikkerhedsrekord og påpeget, at konkurrenter jævnligt udsættes for sikkerhedsbrud, og at Coinkite tager sagen yderst alvorligt. Alligevel er episoden allerede begyndt at undergrave tilliden til selvopbevaring og kan få mere forsigtige investorer til at vende tilbage til børshandlede fonde i stedet for at administrere deres egne nøgler.

Sagen har også udviklet sig til et drama på blockchainen, der rækker ud over selve tyveriet. Et frækt tilbud om hvidvaskning af bitcoin rettet mod hackeren blev lagt direkte ud på Bitcoins blockchain, hvilket forvandlede sagen til et offentligt spektakel, der udspiller sig i realtid på sociale medier og i on-chain-data.

Nu hvor sværvægtere som ZachXBT trækker sig tilbage, hviler byrden med at spore de stjålne 1.367 BTC i højere grad på virksomheder som Galaxy Research, der har offentliggjort opdateringer bølge for bølge i takt med udviklingen i angriberens tegnebogsaktivitet. Der er dukket rapporter op om, at entropifejlen, der påvirker Coldcard Mk3-enheder, stammer fra en firmwareversion fra marts 2021, hvilket betyder, at enhver wallet-seed, der er genereret på den version i løbet af de seneste mere end fire år, stadig kan være udsat for risiko, indtil ejerne skifter til en ny seed på den opdaterede firmware.