A Coldcard-lopások értéke 88 millió dollárra emelkedett a tőzsdei betétek hirtelen emelkedése és a régi BTC-állományok mozgása miatt

A harmadik hullám tovább növeli a kárt

A Galaxy Research az X-en közölte, hogy a három feltételezett hullám az elemzés időpontjában körülbelül 4 585 címet ürített ki, és mintegy 88,6 millió dollár értékű bitcoint szerzett meg. A kutatócsoport figyelmeztetett, hogy eredményei előzetesek, és kizárólag nyilvánosan elérhető Bitcoin-blokklánc-adatokon alapulnak. Egy másik, Coldcard Sweep Watch nevű irányítópult szombat délután 5 órakor (EDT) 1 158,8480 BTC-re becsülte a lopás mértékét.

A Galaxy kutatói szerint az első hullám volt a legnagyobb: július 30-án 41 perc alatt 1 082,65 BTC-t söpört el 1 195 címről. A második akció a következő napon 76,16 BTC-t gyűjtött össze 1 478 címről. A harmadik hullám július 31-től augusztus 1-ig tartott, és 1 912 címről körülbelül 208 BTC-t szedett össze.

Ez a harmadik művelet nem úgy tűnt, mintha egyszerűen az első kettő folytatása lenne. Az 1. és 2. hullám a pénzeszközöket egy kis számú gyűjtő- és tároló címre terelte. A 3. hullám ezzel szemben az áldozatok pénzét 293 különálló P2WSH-tárhelyre küldte, amely egy olyan típusú bitcoin-cím, amely elrejti a kiadási feltételeit, amíg a coinok el nem mozdulnak.

A különálló tárolók megnehezítik a külső megfigyelők számára, hogy a pénzeszközöket egy csoportba sorolják. A Galaxy kifejtette, hogy a változás arra utalhat, hogy az eredeti támadó újjáépítette a műveletet, miután az első átutalások nyilvánosságra kerültek, vagy hogy egy másik fél fedezte fel ugyanazt a sebezhető címcsoportot. A blokklánc-nyilvántartásokból önmagukban nem lehet megállapítani, melyik magyarázat a helyes.

A Galaxy a tevékenységet egy sebezhető Coinkite Coldcard firmware-kiadáshoz kapcsolta, amelyet 2021. március 17-én adtak ki. Az érintett érmék egyike sem jött létre az említett kiadás előtt, és az áldozatok címeinek mediánja körülbelül 3,5 éve inaktív maradt, ami megfelel a hosszú távú hidegtárolásból várható viselkedésnek.

A tőzsdei befizetések egy második jelzést adnak

Miközben a kutatók feltérképezték a feltételezett lopásokat, a centralizált kriptovaluta-tőzsdék július 31-én a bitcoin-befizetések hirtelen emelkedését regisztrálták. A Timechainindex.com Sani által megosztott adatok szerint aznap 11 163 BTC nettó tőzsdei beáramlás történt.

A River becslések szerint 3 679 BTC-t kapott, ezt követte a Binance 3 224 BTC-vel, a Kraken 2 848 BTC-vel, valamint az OKX 1 291 BTC-vel. A központosított tőzsdék összesen 15 205 BTC-t kaptak azonosítatlan címekről, ami egyetlen nap alatt hatalmas mértékben megnövelte a bejelentett állományukat.

A tőzsdékre érkező nagy összegű beáramlások gyakran felkeltik a figyelmet, mivel a kereskedési platformokra befizetett érméket eladásra, fedezetként vagy belső letéti átutalásokra szánhatják. Az adatok nem támasztják alá, hogy a július 31-i befizetések Coldcard-felhasználóktól, támadóktól vagy az incidensre közvetlenül reagáló személyektől származtak volna.

Az időzítés azonban így is meglehetősen figyelemre méltó. Egy biztonsági riadó minden bizonnyal arra késztetheti a tulajdonosokat, hogy átszervezzék tárolási módszereiket, áthelyezzék a kriptovalutákat tőzsdékre, vagy felhagyjanak azokkal a pénztárca-beállításokkal, amelyekben már nem bíznak. Ez egybeeshet független intézményi átutalásokkal, ügyfélbetétekkel és tőzsdei könyvelési műveletekkel is, így a beáramlás hirtelen megugrása ugyan jelentős, de nem bizonyító erejű.

Sok inaktív bitcoin mozgásba lendül

Egy harmadik fejlemény is felmerült: a Bitcoin.com News által a btcparser.com-ról gyűjtött statisztikák szerint a 2010 és 2017 között létrehozott címek nagy része 9–16 évnyi inaktivitás után kezdett el kriptovalutát mozgatni. A július 30. és augusztus 1. között látható tranzakciók összesen körülbelül 306 BTC-t tettek ki, beleértve a 10 BTC-s és 30 BTC-s ismételt átutalásokat is.

Egy 2010. július 2-án létrehozott cím egy régi, több mint 50 BTC-s coinbase-tranzakciót mozgatott meg. Egyéb tranzakciók között szerepelt 37,8 BTC egy 2014-es címről, valamint egy összehangolt átutalási sorozat három, 2017. július 29-én létrehozott pénztárcából. Ez a három pénztárca 37,5 BTC-t és két különálló, egyenként 30 BTC-s összeget mozgatott ugyanabban a blokkban.

A rendelkezésre álló adatok alapján a szunnyadó tevékenység nem köthető a Coldcard-támadásokhoz. Valójában a Galaxy Research részletesen kifejtette, hogy a feltételezett áldozatok érméi mind a sebezhető firmware 2021-es megjelenése után jöttek létre, míg az újonnan aktívvá vált szunnyadó pénztárcák közül sok már évekkel a Coldcard megjelenése előtt is tartott bitcoint.

Ugyanakkor, hasonlóan a Sani által jelentett tőzsdei tevékenységhez, a régóta inaktív bitcoin (BTC) birtokosok feltehetően megkérdőjelezik biztonsági beállításaikat, és más megoldásokra, például letéti szolgáltatásokra helyezik át a pénzeszközeiket.

Amennyire tudjuk, a Galaxy Research közölte, hogy az első két hullámból hét, a harmadikból pedig 293 tároló címet figyel. Az első kifizetés ezekből a tárolókból felfedheti a szkripteket, és kiderítheti, hogy ugyanazok az aláírási kulcsok vagy kifizetési struktúrák jelennek-e meg több címen is.

A cikk írásának pillanatában az online hangulat továbbra is mélyen pesszimista volt, a BTC 63 000 dollár alatt, pontosan 62 326 dolláron kereskedett egy érme.