A Coldcard-támadás áldozatainak összege épp most érte el a 116 millió dollárt. A negyedik hullám továbbra is folytatódik

Négy hullám négy nap alatt

Ami becslések szerint 30 millió dolláros lopásként indult, kevesebb mint egy hét alatt több mint megháromszorozódott. A Bitcoin.com News elsőként számolt be a biztonsági résről, amint az napvilágra került, és az összeg a támadók által a Coldcard által generált pénztárcákból elvont tranzakciók minden új hullámával emelkedett: a kezdeti rohamtól, amely az első tíz percben 30 millió dollárt mozgatott meg, a második hullám után körülbelül 75 millió dollárra, majd a lopás 4 500 címre terjedésével közel 89 millió dollárra emelkedett.

Az összeg jelenleg körülbelül 116 millió dollárra rúg, ami 1 816 BTC-t jelent, amelyet több mint 5 200 egyedi címről szedtek ki. A Galaxy Research, amely valós időben követte nyomon a támadást, augusztus 3-án megerősítette a negyedik hullámot, amely a korábbi adatok korrekciója után önmagában körülbelül 449 BTC-t mozgatott meg.

A cég vezetője, Alex Thorn a legújabb tevékenységet a lopások valószínűsíthető „negyedik szervezett hullámának” nevezte, rámutatva, hogy a blokkonkénti átutalások száma 13,8 volt, szemben az incidens előtti kontrollidőszakban mért mindössze 0,3-as értékkel, ami nagyjából a normál alapszintű aktivitás 45-szörösét jelenti.

Thorn elemzése szerint a minta arra utal, hogy több csoport versenyez párhuzamosan a sebezhető kulcstérben, nem pedig egyetlen támadó bővíti módszeresen a tevékenységét. Ez a részlet azért fontos, mert azt jelenti, hogy a lopás hullámokban folytatódhat, ahogy a különböző szereplők függetlenül felfedezik, mely címek maradtak sebezhetőek.

Miért fontos a véletlenszám-hiba?

A probléma gyökere nem csak erre a hétre vezethető vissza, mivel 2021-ben bizonyos Coldcard-eszközök firmware-frissítése a pénztárca maggenerálási folyamatát egy erős, hardveralapú véletlenszám-forrásról egy olyan szoftveres mintára váltotta át, amelyről kiderült, hogy kiszámítható – ez azt jelenti, hogy az érintett firmware-en létrehozott bármely pénztárca-magot elvileg kitalálni lehetett, nem pedig brute-force-módszerrel kellett feltörni.

A kezdeti zűrzavarban ZachXBT nem volt hajlandó segíteni a lopott pénzeszközök nyomon követésében, így az áldozatok és a független kutatók versenyfutásba keveredtek a támadókkal, akik már pontosan tudták, mely címek sebezhetőek.

Ez az előny volt az oka annak, hogy a legnagyobb pénztárcákat érintették elsőként. A támadók a sebezhetőség aktiválódását követő percekben a legnagyobb egyenlegeket vették célba, és körülbelül 25 percen belül már több száz bitcoint szedtek ki az egyaláírásos pénztárcákból, mielőtt a legtöbb tulajdonosnak bármilyen jelzése lett volna arra, hogy pénzeszközei veszélyben vannak.

Minden kompromittált cím visszavezethető a 2021 márciusában forgalomba hozott hibás firmware után generált pénztárca-magokra, ami azt jelenti, hogy a sebezhetőség több mint öt éve létezett, észrevétlenül, amíg valaki ebben a hónapban felfedezte és ki nem kezdte kihasználni.

A Coinkite reakciója és a további lépések

A Coldcard mögött álló kanadai gyártó, a Coinkite közvetlenül elismerte a kár mértékét. A folyamatos lopásokra reagáló nyilatkozatában a vállalat így fogalmazott „az elmúlt három nap a vállalat történetének egyik legnehezebb időszaka volt, és sok, ezt olvasó ember számára még ennél is sokkal rosszabb”, és nyomatékosan azt tanácsolta mindenkinek, aki Coldcard-eszközön generált pénztárca-magot, hogy a lehető leghamarabb helyezze át pénzeszközeit egy új, biztonságosan generált pénztárcába.

Azok az áldozatok, akik még a folyamat közepén tartanak, szűk időkeretben próbálkozhatnak „Replace-By-Fee” tranzakciókkal a még nem erősített átutalások esetében, bár ez a lehetőség csak akkor segít, ha a támadó által elvégzett kiürítés még nem került megerősítésre a blokkláncon.

Végül az iparág olyan szereplői, mint Anthony Pompliano, cáfolták azt a narratívát, miszerint maga a bitcoin volt a támadás célpontja, azzal érvelve, hogy a hiba egyértelműen a Coldcard firmware-jében volt, nem pedig a BTC-protokollban.