„White Hats“ võitsid Coldcardi ründajad ja päästsid miljoneid dollareid bitcoine

Coldcardi turvaauk tundus sel suvel, kui bitcoine hakkas haavatavatest rahakottidest kaduma, esmapilgul täieliku katastroofina. Ründajad olid avastanud, et mõningaid Coldcardi algvõtmeid on võimalik offline-režiimis taastada, ning äkitselt algas võidujooks haavatavate müntide kätte saamiseks. Kuid Thorni uurimine on toonud selles loos päevavalgele ühe põneva pöörde.

Mõned neist, kes neid rahakotte tühjendasid, polnud üldse vargad. Need olid hea tahtega häkkerid, kes püüdsid vargadest raha kätte saada, ja vähemalt 52,37 BTC näib selles võidujooksus säilinud olevat.

Thorn märkas, et 52,37 BTC suundub usaldusfondi

„COLDCARDI VALGE MÜTSIGA HÄKKER KANNAB RAHA USALDUSFONDI,“ kirjutas Thorn teisipäeval, enne kui kirjeldas, mida ta plokiahelas avastas. Galaxy teadlase sõnul koondati „52,37 BTC, mis koosnes Wave 2, Footprints AA, AU ja AX müntidest” uuele aadressile plokis 967 948.

Tehing sisaldas isegi OP_RETURN-sõnumit „claim:cryptorecoverytrust dot com“, jättes seega ahelasse viite, mis selgitab, kuhu päästetud bitcoini läks. Thorni arvutuste kohaselt moodustavad need päästetud mündid „2,8% Coldcardi rünnakust“. Veelgi olulisem on see, et tema analüüs muudab pilti Wave 2 kohta – see on üks mitmest tehingurühmast, mida uurijad on jälginud alates raha väljavoolamise algusest.

„Nüüd teame, et umbes 40% Wave 2-st moodustasid tegelikult hea tahtega häkkerid, kes kogusid münte ohvrite rahaliste vahendite kaitsmiseks,“ selgitas Thorn. Need mündid, lisas ta, „on nüüd ilmselt toimetatud aadressile, mida kontrollib Crypto Recovery Trust“ – Wyomingi usaldusfond, mis loodi selleks, et aidata seaduskuulekatel hea tahtega häkkeritel tagastada tagasi saadud varad ohvritele.

Numbrid muutuvad veelgi kummalisemaks

52,37 BTC – mille väärtus on käesoleva artikli kirjutamise hetkel üle 4,4 miljoni dollari – ei pruugi olla kogu saak. Thorn märkas, et sama tehingu raames laekus Crypto Recovery Trusti aadressile veel 3,0134 BTC, kuid ta on selle arvestamisel tahtlikult ettevaatlik.

„Me pole neid münte varem näinud,“ kirjutas ta oma X-i postituses, lisades, et need on „tõenäoliselt“ täiendavad Coldcardi vahendid, mille „valged kübarad“ on tagasi saanud, kuigi tema meeskond ei saa nende päritolu veel kinnitada.

See ettevaatus on oluline, sest Thorn püüab rekonstrueerida rünnakut, millega on seotud palju suurem summa. Tema arvestus 1., 2. ja 3. laine kohta koos usaldusfondidega hõlmab 1393 BTC-d ehk 76,1% avaldatud Coldcardi rünnaku kogusummast. Ainuüksi laine 1 on puutumata jäänud 1 082,57 BTC ulatuses. Laine 3 puhul on puutumata jäänud 116,98 BTC, samas kui 97,09 BTC ühendati coinjoin-meetodil või suunati Thorchaini kaudu Ethereumi, kusjuures ründajad kasutasid seejärel Tornado Cashi, et eeterit segada. Seevastu jälgi AX, AA ja AU peetakse nüüd „100% valgekübaralisteks“.

Mis sai ülejäänud Bitcoinist?

Mõistatus ei ole veel täielikult lahendatud. Thorn ütles, et uurijad ei tea endiselt, kas laine 2 ülejäänud 60% vahenditest võtsid endale pahatahtlikud ründajad või mõni teine heade häkkijate rühm. Ta saab öelda vaid seda, et need kaks osa näivad hõlmavat erinevaid tegutsejaid. Thorn on rääkinud ka üksikute Coldcardi ohvritega, kes on esindatud mõlemas Wave 2 osas, tugevdades seost nende tehingute ja laiemalt Coldcardi juhtumi vahel.

„Me ei tea, kas ülejäänud 60% Wave 2 raames võetud vahenditest kuulub samuti heade häkkijate kätte,“ kirjutas Thorn. Ta ütles, et olgu tegemist „valge mütsiga“ või mitte, näib, et ülejäänud müntidega on tegelenud „teine operaator (või operaatorid)“ rühmast, kelle bitcoini jõudis lõpuks Crypto Recovery Trusti. Teisisõnu, uurijad suudavad nüüd selgitada suure osa sellest, mis esialgu näis varastatud bitcoinina, kuid teise märkimisväärse summa saatus jääb endiselt mõistatuseks.

Bitcoini tegeliku omaniku kindlakstegemine

Müntide tagasisaamine tekitab veel ühe probleemi: kuidas saab usaldusfond kindlaks teha, kellele need tegelikult kuulusid, kui nii ohver kui ka ründaja võivad omada volitusi, mis võimaldavad rahakotile juurde pääseda? Kui üks X-kasutaja esitas selle küsimuse Thornile, vastas ta, et on mitmeid tõendeid, mida võiks kombineerida, selle asemel et tugineda ühele lõplikule testile.

„Seda saaks teha mitmel viisil,“ vastas Thorn, viidates sellele, et „mitu tõendit annavad ülekaalu“. Tõendite hulgas, mida ta loetles, olid seadmeforensika, mis näitab, kes lõi algseemne esimesena; börside „tunne oma klienti“ andmed, mis näitavad väljamakseid aadressile, millelt raha hiljem tühjendati; ohvrite poolt talle varem edastatud xpub või zpub laiendatud avalik võti ning varajane FBI raport.

Crypto Recovery Trust võimaldab Coldcardi ohvritel otsida oma aadresse, et teha kindlaks, kas nende bitcoine võib olla nende rahaliste vahendite hulgas, mille „valged kübarad“ on päästnud.

Coldcardi viga, mis pani võidujooksu käima

Thorni detektiivitöö taga on Coldcardi püsivara viga, mis nõrgendas rahakoti algvõtme genereerimist, võimaldades ründajatel algvõtmeid kaugjuhtimisega rekonstrueerida. Alates 30. juulist mõjutas see turvaauk lõpuks enam kui 8600 aadressi ja ligikaudu 1779 BTC-d.

Thorni viimane avastus lisab loole ootamatu pöörde. Sisuliselt avastasid ka heaolijad haavatavad mündid, jõudes ründajatest ette ja võttes enda kaitse alla 52,37 BTC. Nüüd on väljakutseks omandiõiguse tõendamine ja bitcoini tagastamine õigele omanikule.