”White Hats” kukistivat Coldcard-hyökkääjät ja pelastivat miljoonia dollareita bitcoineina

Coldcard-hyökkäys näytti suorastaan katastrofilta, kun bitcoineja alkoi kadota haavoittuvista lompakoista tänä kesänä. Hyökkääjät olivat havainneet, että joitakin Coldcard-siemeniä voitiin rekonstruoida offline-tilassa, ja kilpailu paljastuneiden kolikoiden saamisesta alkoi yhtäkkiä. Thornin tutkimus on kuitenkin paljastanut kiehtovan käänteen tässä tarinassa.

Osa näitä lompakoita tyhjentäneistä ihmisistä ei ollut lainkaan varkaita. He olivat ”white hat” -hakkereita, jotka yrittivät ehtiä varkaita nopeammin rahojen luo, ja ainakin 52,37 BTC näyttää selvinneen tuosta kilpajuoksusta.

Thorn havaitsi 52,37 BTC:n siirtyvän luottotiliin

”COLDCARD-VALKOISEN HATTUISET SIIRTÄVÄT VAROJA TRUST-RAHASTOON”, Thorn kirjoitti tiistaina ennen kuin esitteli, mitä hän oli havainnut lohkoketjussa. Galaxy-tutkijan mukaan ”52,37 BTC:tä, joka koostui Wave 2:n sekä Footprints AA:n, AU:n ja AX:n kolikoista”, yhdistettiin uuteen osoitteeseen lohkossa 967 948.

Transaktiossa oli jopa OP_RETURN-viesti, jossa luki ”claim:cryptorecoverytrust dot com”, mikä käytännössä jätti lohkoketjuun viitteen siitä, minne pelastetut bitcoinit olivat menneet. Thorn laskee, että nämä pelastetut kolikot muodostavat ”2,8 % Coldcard-hyökkäyksestä”. Vielä tärkeämpää on, että hänen analyysinsä muuttaa kuvaa Wave 2:sta, joka on yksi monista transaktioryhmistä, joita tutkijat ovat seuranneet varojen katoamisen alettua.

”Tiedämme nyt, että noin 40 % Wave 2:sta oli itse asiassa white hat -hakkereita, jotka siirsivät kolikoita suojellakseen uhrien varoja”, Thorn selitti. Nämä kolikot, hän lisäsi, ”on ilmeisesti toimitettu osoitteeseen, jota hallinnoi Crypto Recovery Trust”, Wyomingissa toimiva säätiö, joka on perustettu auttamaan laillisia white hat -hakkereita palauttamaan takaisin saadut varat uhreille.

Luvut muuttuvat yhä kummallisemmiksi

52,37 BTC:tä – arvoltaan yli 4,4 miljoonaa dollaria tämän kirjoituksen hetkellä – ei välttämättä ole koko saalis. Thorn huomasi, että samaan transaktioon saapui vielä 3,0134 BTC:tä Crypto Recovery Trustin osoitteeseen, mutta hän on tarkoituksellisesti varovainen sen laskemisessa.

”Emme ole nähneet näitä kolikoita aiemmin”, hän kirjoitti X-ketjussaan ja lisäsi, että ne ovat ”oletettavasti” white hat -hakkereiden takaisin saamia lisävaroja Coldcardista, vaikka hänen tiiminsä ei voi vielä vahvistaa niiden alkuperää.

Tämä varovaisuus on tärkeää, koska Thorn yrittää rekonstruoida hyökkäystä, johon liittyy huomattavasti enemmän rahaa. Hänen laskelmansa aalloista 1, 2 ja 3 sekä rahaston varoista kattavat yhteensä 1 393 BTC:tä, eli 76,1 % julkistetusta Coldcard-hyökkäyksen kokonaissummasta. Pelkästään aalto 1 on edelleen koskematon, ja sen määrä on 1 082,57 BTC. Aallossa 3 on 116,98 BTC koskemattomana, kun taas 97,09 BTC yhdistettiin coinjoin-menetelmällä tai reititettiin Thorchainin kautta Ethereumiin, minkä jälkeen hyökkääjät sekoittivat etherin Tornado Cashin avulla. Jäljet AX, AA ja AU puolestaan katsotaan nyt ”100-prosenttisesti white-hat-hyökkäyksiksi”.

Entä loput bitcoineista?

Mysteeriä ei ole vielä täysin ratkaistu. Thornin mukaan tutkijat eivät vieläkään tiedä, veivätkö pahantahtoiset hyökkääjät vai toinen white hat -ryhmä jäljellä olevat 60 % aallon 2 varoista. Hän voi kuitenkin todeta, että näihin kahteen osaan näyttää liittyvän eri toimijoita. Thorn on myös keskustellut yksittäisten Coldcard-uhrien kanssa, jotka olivat mukana molemmissa Wave 2:n osissa, mikä vahvistaa yhteyttä näiden tapahtumien ja laajemman Coldcard-tapauksen välillä.

”Emme tiedä, ovatko myös Wave 2:ssa varastetun varojen loput 60 % white hat -toimijoiden hallussa”, Thorn kirjoitti. Hän totesi, että olivatpa ne sitten ”white hat” -hakkereita tai eivät, jäljellä olevia kolikoita näyttää käsitteleneen ”eri toimija (tai toimijat)” kuin se ryhmä, jonka bitcoinit päätyivät lopulta Crypto Recovery Trustille. Toisin sanoen tutkijat pystyvät nyt selittämään suuren osan siitä, mikä alun perin näytti varastetuilta bitcoineilta, mutta toinen merkittävä osa jää edelleen arvoituksiksi.

Bitcoinin todellisen omistajan selvittäminen

Kolikoiden takaisin saaminen aiheuttaa toisen ongelman: Miten rahasto selvittää, kuka ne todella omisti, kun sekä uhri että hyökkääjä voivat hallita tunnuksia, joilla pääsee lompakkoon? Kun eräs X-käyttäjä esitti tämän kysymyksen Thornille, hän sanoi, että on olemassa useita todisteita, joita voidaan yhdistellä sen sijaan, että luotettaisiin yhteen ainoaan ratkaisevaan testiin.

”Se voidaan tehdä muutamalla eri tavalla”, Thorn vastasi ja viittasi siihen, että ”useat todisteet muodostavat ylivoimaisen todistusaineiston”. Hänen luettelemien todisteiden joukossa olivat laitteiden rikostekninen tutkimus, joka osoitti, kuka loi siemenen ensimmäisenä, pörssien asiakastunnistustiedot, jotka osoittivat nostoja osoitteeseen, josta varat myöhemmin tyhjennettiin, uhrien aiemmin hänelle toimittamat xpub- tai zpub-laajennetut julkiset avaimet sekä varhainen FBI:n raportti.

Crypto Recovery Trustin avulla Coldcardin uhrit voivat myös etsiä omia osoitteitaan selvittääkseen, onko heidän bitcoinejaan white hat -hakkerien pelastamien varojen joukossa.

Coldcard-virhe, joka käynnisti kilpajuoksun

Thornin etsivätyön taustalla on Coldcardin laiteohjelmistovirhe, joka heikensi lompakon siemenen luomista ja antoi hyökkääjille mahdollisuuden rekonstruoida siemeniä etänä. 30. heinäkuuta alkaen tämä haavoittuvuus vaikutti lopulta yli 8 600 osoitteeseen ja noin 1 779 BTC:hen.

Thornin uusin löytö tuo tarinaan yllättävän käänteen. Käytännössä ”white hatit” löysivät myös haavoittuvat kolikot, ehtivät hyökkääjiä ennen 52,37 BTC:n kohdalle ja siirtivät ne suojaavaan säilytykseen. Nyt haasteena on todistaa omistajuus ja palauttaa bitcoinit oikeille omistajilleen.