Coldcardi häkkimise kahju ulatus just 116 miljoni dollarini. Neljas laine jätkab endiselt kahju tekitamist

Neli laineid nelja päeva jooksul

See, mis algas hinnanguliselt 30 miljoni dollari suuruse vargusena, on vähem kui nädalaga enam kui kolmekordistunud. Bitcoin.com News teatas sellest turvaaugust esimesena kohe, kui see ilmsiks tuli, ning summa kasvas iga uue tehingulainega, mille ründajad Coldcardi poolt loodud rahakottidest välja tõmbasid: alates esimesest laineest, mil esimese kümne minuti jooksul kanti üle 30 miljonit dollarit, kuni umbes 75 miljoni dollarini pärast teist laine, ning peaaegu 89 miljoni dollarini, kui vargus levis 4500 aadressile.

Praegune summa on ligikaudu 116 miljonit dollarit, mis hõlmab 1 816 BTC-d, mis on väljavõetud enam kui 5 200 eraldi aadressilt. Galaxy Research, mis on rünnakut reaalajas jälginud, kinnitas 3. augustil neljanda laine toimumist, mille käigus liigutati varasemate arvude korrigeerimise järel ligikaudu 449 BTC-d.

Ettevõtte juht Alex Thorn kirjeldas viimast tegevust tõenäoliselt „neljandaks organiseeritud varguslaineks”, viidates ülekannete sagedusele 13,8 ülekannet ploki kohta, võrreldes intsidendi-eelse kontrollaknaga, kus toimus vaid 0,3 ülekannet ploki kohta – see on ligikaudu 45 korda rohkem kui tavaline baastegevus.

Thorni analüüs viitab sellele, et mustri põhjal tegutsevad haavatavas võtmeruumis paralleelselt mitu rühma, mitte üksainus ründaja, kes metoodiliselt oma tegevust laiendab. See detail on oluline, kuna see tähendab, et vargus võib jätkuda hoogudena, kui erinevad osapooled avastavad iseseisvalt, millised aadressid on endiselt haavatavad.

Miks juhuslike numbrite viga on oluline

Põhjus ulatub kaugemale kui käesolev nädal, sest 2021. aasta teatud Coldcard-seadmete püsivara uuendus vahetas rahakoti algandmete genereerimisprotsessi tugeva riistvarapõhise juhuslikkuse allika vastu tarkvaramustri, mis osutus ennustatavaks – see tähendab, et iga asjaomase püsivara abil loodud rahakoti algandmeid võis teoreetiliselt ära arvata, mitte neid jõuvõttega lahti murda.

Esialgse segaduse ajal keeldus ZachXBT aitamast varastatud vahendeid jälitada, jättes ohvrid ja sõltumatud uurijad võidujooksule ründajatega, kes juba teadsid täpselt, millised aadressid olid haavatavad.

Just see eelise tõttu tabati esimesena suurimad rahakotid. Ründajad võtsid sihikule suurimad saldod juba mõne minuti jooksul pärast seda, kui turvaauk aktiivseks muutus, ning umbes 25 minuti jooksul olid nad juba ühe allkirjaga rahakottidest välja võtnud sadu bitcoine, enne kui enamik omanikke oli üldse märganud, et nende rahalised vahendid on ohus.

Kõik ohustatud aadressid on seotud rahakottide algandmetega, mis genereeriti pärast vigase püsivara turule toomist 2021. aasta märtsis, mis tähendab, et turvaauk on vaikselt eksisteerinud juba üle viie aasta, kuni keegi selle sel kuul avastas ja hakkas seda ära kasutama.

Coinkite'i reaktsioon ja edasised sammud

Coldcardi taga seisva Kanada tootja Coinkite on kahju ulatust otseselt tunnistanud. Jätkuvaid vargusi käsitlevas avalduses ütles ettevõte „viimased kolm päeva on olnud ühed raskemaid selle ettevõtte ajaloos, ja paljude seda lugenute jaoks on need olnud veelgi hullemad”, ning soovitas tungivalt kõigil, kes on Coldcardi seadmel rahakoti algvõtme genereerinud, viia oma rahalised vahendid võimalikult kiiresti uude, turvaliselt genereeritud rahakotti.

Ohvritel, kes on selle protsessiga veel tegelemas, on piiratud aeg, et proovida teha „Replace-By-Fee“ tehinguid kinnitamata ülekannete puhul, kuigi see võimalus aitab vaid juhul, kui ründaja poolt varastatud vahendid pole veel plokikahel kinnitatud.

Lõpuks on sellised valdkonna asjatundjad nagu Anthony Pompliano lükanud tagasi väite, et häkkimine puudutas bitcoini ennast, väites, et viga peitus otseselt Coldcardi püsivaras, mitte BTC-protokollis.