Coldcard-varkaudet nousevat 88 miljoonaan dollariin, kun pörssitalletukset kasvavat jyrkästi ja vanhat BTC-saldoja siirretään

Kolmas aalto laajentaa vahinkoja

Galaxy Research paljasti X:ssä, että kolme epäiltyä aaltoa tyhjensivät noin 4 585 osoitetta ja veivät bitcoineja, joiden arvo oli analyysin tekohetkellä noin 88,6 miljoonaa dollaria. Tutkimusryhmä varoitti, että sen havainnot ovat alustavia ja perustuvat kokonaan julkisesti saatavilla oleviin Bitcoin-lohkoketjutietoihin. Toinen seurantapaneeli, Coldcard Sweep Watch, arvioi varastetun määrän olevan 1 158,8480 BTC lauantaina kello 17.00 EDT.

Galaxyn tutkijoiden mukaan ensimmäinen aalto oli suurin: se vei 1 082,65 BTC:tä 1 195 osoitteesta 41 minuutissa 30. heinäkuuta. Toisessa operaatiossa kerättiin seuraavana päivänä 76,16 BTC:tä 1 478 osoitteesta. Kolmas aalto ulottui 31. heinäkuuta 1. elokuuta ja tyhjensi noin 208 BTC:tä 1 912 osoitteesta.

Tuo kolmas operaatio ei näyttänyt olevan pelkkä jatkoa kahdelle ensimmäiselle. Aallot 1 ja 2 kanavoivat varat pienen määrän keräys- ja säilytysosoitteiden kautta. Kolmas aalto sen sijaan lähetti uhrien varat 293 erilliseen P2WSH-varastoon, joka on eräänlainen bitcoin-osoite, joka voi piilottaa käyttöehdot, kunnes kolikot siirretään.

Erilliset säilytystilat vaikeuttavat ulkopuolisten tarkkailijoiden mahdollisuuksia ryhmitellä varat yhteen. Galaxy selitti, että muutos voi viitata siihen, että alkuperäinen hyökkääjä rakensi operaation uudelleen sen jälkeen, kun ensimmäiset varojen keräykset tulivat julki, tai että joku toinen osapuoli löysi saman haavoittuvan osoitejoukon. Pelkästään lohkoketjutietojen perusteella ei voida määrittää, kumpi selitys on oikea.

Galaxy yhdisti toiminnan haavoittuvaan Coinkite Coldcard -laiteohjelmistoversioon, joka julkaistiin 17. maaliskuuta 2021. Yksikään vaikutuksen kohteeksi joutuneista kolikoista ei ollut luotu ennen kyseistä julkaisua, ja uhrien osoitteiden mediaani oli ollut passiivinen noin 3,5 vuotta, mikä vastaa pitkäaikaisesta kylmävarastoinnista odotettavaa käyttäytymistä.

Pörssitalletukset antavat toisen merkin

Kun tutkijat kartoittivat epäiltyjä varkauksia, keskitetyt kryptovaluuttapörssit rekisteröivät 31. heinäkuuta jyrkän nousun bitcoin-talletuksissa. Timechainindex.comin Sani jakamien tietojen mukaan pörssien nettomääräiset sisäänvirtaukset olivat päivän aikana 11 163 BTC.

River sai arviolta 3 679 BTC:tä, jota seurasivat Binance 3 224 BTC:llä, Kraken 2 848 BTC:llä ja OKX 1 291 BTC:llä. Keskitetyt pörssit saivat yhteensä 15 205 BTC:tä tunnistamattomista osoitteista, mikä kasvatti niiden ilmoitettuja saldoja massiivisesti yhden päivän aikana.

Suuret pörssiin suuntautuvat tulovirrat herättävät usein huomiota, koska kaupankäyntialustoille talletetut kolikot voivat olla tarkoitettuja myyntiin, vakuudeksi tai sisäisiin säilytyssiirtoihin. Tiedot eivät osoita, että 31. heinäkuuta tehdyt talletukset olisivat peräisin Coldcard-käyttäjiltä, hyökkääjiltä tai keneltäkään, joka olisi reagoinut suoraan tapahtumaan.

Ajoitus on kuitenkin varsin huomionarvoinen. Turvallisuushuoli voi ehdottomasti saada haltijat järjestelemään säilytystään uudelleen, siirtämään kolikoita pörsseihin tai luopumaan lompakoista, joihin he eivät enää luota. Se voi myös osua ajallisesti yhteen asiaan liittymättömien institutionaalisten siirtojen, asiakkaiden talletusten ja pörssien kirjanpidon kanssa, mikä tekee tulovirran piikistä merkittävän mutta ei ratkaisevan.

Suuri määrä käyttämättömiä bitcoineja alkaa liikkua

Kolmas kehitys ilmeni, kun suuri joukko vuosina 2010–2017 luotuja osoitteita alkoi siirtää kolikoita 9–16 vuoden käyttämättömyyden jälkeen, Bitcoin.com Newsin btcparser.com-sivustolta keräämien tilastojen mukaan. 30. heinäkuuta ja 1. elokuuta välisenä aikana näkyvät transaktiot olivat yhteensä noin 306 BTC, mukaan lukien toistuvat siirrot, joiden suuruudet olivat 10 BTC ja 30 BTC.

Yksi 2. heinäkuuta 2010 luotu osoite siirsi vanhan coinbase-transaktion, jonka suuruus oli yli 50 BTC. Muita siirtoja olivat 37,8 BTC:n siirto vuonna 2014 luodusta osoitteesta sekä koordinoitu siirtojen sarja kolmesta 29. heinäkuuta 2017 luodusta lompakosta. Nämä kolme lompakkoa siirsivät samassa lohkossa 37,5 BTC:tä ja kaksi erillistä 30 BTC:n summaa.

Käytettävissä olevien tietojen perusteella tätä passiivista toimintaa ei voida yhdistää Coldcard-pyyhkäisyihin. Itse asiassa Galaxy Research täsmensi, että epäiltyjen uhrien kolikot luotiin kaikki sen jälkeen, kun haavoittuva laiteohjelmisto julkaistiin vuonna 2021, kun taas monet äskettäin aktiivisiksi muuttuneista passiivisista lompakoista olivat sisältäneet bitcoineja jo vuosia ennen Coldcardin olemassaoloa.

Saniin raportoiman pörssitoiminnan tavoin pitkään passiiviset bitcoin (BTC)-haltijat saattavat kuitenkin kyseenalaistaa turvallisuusjärjestelyjään ja siirtää varojaan vaihtoehtoisiin ratkaisuihin, kuten säilytyspalveluihin.

Siltä osin kuin tiedämme, Galaxy Research paljasti seuraavansa seitsemää säilytysosoitetta kahdelta ensimmäiseltä aallolta ja 293 säilytystilaa kolmannelta aallolta. Ensimmäinen varojen käyttö näistä säilytystiloista voisi paljastaa niiden skriptit ja osoittaa, esiintyykö samoja allekirjoitusavaimia tai käyttörakenteita useissa osoitteissa.

Tämän artikkelin kirjoitushetkellä verkkomielipiteet olivat edelleen erittäin laskevia, ja BTC:n kurssi oli alle 63 000 dollaria, tarkalleen 62 326 dollaria kolikolta.