Coldcard hack upravo je dosegao 116 milijuna dolara. Četvrti val i dalje iscrpljuje

Četiri vala u četiri dana

Ono što je započelo kao procijenjena krađa od 30 milijuna dolara u manje od tjedan dana više se nego utrostručilo. Bitcoin.com News je prvi izvijestio o exploitu kako se pojavio, pri čemu je brojka rasla sa svakim novim valom transakcija koje su napadači izvukli iz novčanika generiranih Coldcardom: od početnog naleta koji je premjestio 30 milijuna dolara u prvih deset minuta, na otprilike 75 milijuna dolara nakon drugog vala, do gotovo 89 milijuna dolara kako se krađa proširila na 4.500 adresa.

Brojka sada iznosi približno 116 milijuna dolara kroz 1.816 BTC povučenih s više od 5.200 pojedinačnih adresa. Galaxy Research, koji je pratio exploit u stvarnom vremenu, potvrdio je četvrti val 3. kolovoza koji je sam premjestio otprilike 449 BTC nakon ispravaka ranijih brojki.

Voditelj tvrtke Alex Thorn opisao je najnoviju aktivnost kao vjerojatni „četvrti organizirani val” krađa, ukazujući na stopu pražnjenja od 13,8 prijenosa po bloku u odnosu na kontrolni prozor prije incidenta od samo 0,3 prijenosa po bloku, odnosno približno 45 puta više od uobičajene osnovne aktivnosti.

Thornova analiza sugerira da obrazac upućuje na više skupina koje paralelno „jure” kroz ranjivi prostor ključeva, a ne na jednog napadača koji metodično širi svoju operaciju, što je detalj važan jer implicira da se krađa može nastaviti u naletima dok različiti akteri neovisno otkrivaju koje adrese ostaju izložene.

Zašto je greška nasumičnih brojeva važna

Korijenski uzrok seže dalje od ovog tjedna, jer je ažuriranje firmvera iz 2021. na određenim Coldcard uređajima prebacilo proces generiranja seed fraze novčanika sa snažnog izvora nasumičnosti temeljenog na hardveru na softverski obrazac koji se pokazao predvidljivim, što znači da se bilo koji seed novčanika stvoren na pogođenom firmveru, u teoriji, mogao pogoditi umjesto probijati brute-forceom.

Tijekom ranog kaosa, ZachXBT je odbio pomoći u praćenju ukradenih sredstava, ostavljajući žrtve i neovisne istraživače da se utrkuju protiv napadača koji su već točno razumjeli koje su adrese ranjive.

Ta prednost u startu objašnjava zašto su najveći novčanici prvi pogođeni. Napadači su ciljali najveće iznose u roku od nekoliko minuta nakon što je exploit postao aktivan, te su unutar otprilike 25 minuta već povukli stotine bitcoina iz novčanika s jednim potpisom prije nego što je većina vlasnika imala ikakvu naznaku da su njihova sredstva u riziku.

Sve kompromitirane adrese vode do seedova novčanika generiranih nakon što je neispravan firmver isporučen u ožujku 2021., što znači da je prozor izloženosti postojao više od pet godina, tiho, sve dok ga netko nije pronašao i počeo iskorištavati ovog mjeseca.

Coinkiteov odgovor i što slijedi

Coinkite, kanadski proizvođač iza Coldcarda, izravno je priznao razmjere štete. U izjavi koja se bavi tekućim krađama, tvrtka je rekla da su „posljednja tri dana bila među najtežima u povijesti ove tvrtke, a za mnoge ljude koji ovo čitaju bila su nešto mnogo gore” te je snažno savjetovala svima koji su generirali seed novčanika na Coldcard uređaju da što prije premjeste svoja sredstva u novi, sigurno generiran novčanik.

Žrtve koje još prolaze kroz proces imaju uzak vremenski prozor da pokušaju Replace-By-Fee transakcije na nepotvrđenim prijenosima, iako ta opcija pomaže samo ako se napadačevo pražnjenje još nije potvrdilo onchain.

Na kraju, ljudi iz industrije poput Anthonyja Pompliana usprotivili su se narativu da je hakiran sam bitcoin, tvrdeći da je greška bila izravno u Coldcardovu firmveru, a ne u BTC protokolu.