A „fehér kalaposok” legyőzték a Coldcard-támadókat, és több millió dollár értékű bitcoint mentettek meg

A Coldcard-sebezhetőség egyértelmű katasztrófának tűnt, amikor idén nyáron a bitcoinek elkezdtek eltűnni a sebezhető pénztárcákból. A támadók rájöttek, hogy egyes Coldcard-magok offline is rekonstruálhatók, és hirtelen verseny indult a veszélybe került érmék megszerzéséért. Thorn nyomozása azonban egy lenyűgöző fordulatot tárt fel ebben a történetben.

Azok közül, akik kiürítették ezeket a pénztárcákat, néhányan egyáltalán nem tolvajok voltak. Ők olyan „fehér kalapos” hackerek voltak, akik megpróbálták megelőzni a tolvajokat a pénz megszerzésében, és úgy tűnik, hogy legalább 52,37 BTC túlélte ezt a versenyt.

Thorn észrevette, hogy 52,37 BTC egy tröszt felé tart

„A COLDCARD FEHÉR KALAPOSAI PÉNZT UTALNAK EGY TRUSTBA” – írta Thorn kedden, mielőtt részletezte volna, mit észlelt a blokkláncon. A Galaxy kutatója szerint „52,37 BTC, amely a Wave 2, Footprints AA, AU és AX nevű csoportokból származó érmékből állt”, a 967 948. blokkban egy új címre került összevonásra.

A tranzakcióhoz még egy OP_RETURN üzenet is társult, amelyen a „claim:cryptorecoverytrust dot com” felirat volt olvasható, így gyakorlatilag egy blokkláncon belüli útjelzőt hagyva hátra, amely elmagyarázza, hová került a megmentett bitcoin. Thorn számításai szerint ezek a megmentett érmék „a Coldcard-támadás során eltulajdonított összeg 2,8%-át” teszik ki. Ennél is fontosabb, hogy elemzése megváltoztatja a Wave 2-t övező képet, amely az egyik olyan tranzakciós csoport, amelyet a kutatók a kiürítések kezdete óta nyomon követnek.

„Most már tudjuk, hogy a Wave 2-nek körülbelül 40%-át valójában fehér kalaposok tették ki, akik az áldozatok pénzének védelme érdekében szedték össze a coinokat” – magyarázta Thorn. Hozzátette, hogy ezeket a coinokat „most nyilvánvalóan a Crypto Recovery Trust által ellenőrzött címre szállították”, amely egy wyomingi tröszt, amelyet azzal a céllal hoztak létre, hogy segítse a törvényes fehér kalaposokat a visszaszerzett eszközöknek az áldozatokhoz való visszajuttatásában.

A számok egyre furcsábbak

Az 52,37 BTC – amely ennek az írásnak a pillanatában több mint 4,4 millió dollár értékű – lehet, hogy nem a teljes zsákmány. Thorn észrevette, hogy ugyanabban a tranzakcióban további 3,0134 BTC érkezett a Crypto Recovery Trust címére, de szándékosan óvatos annak beszámításával kapcsolatban.

„Ezeket a coinokat még nem láttuk korábban” – írta az X-szálában, hozzátéve, hogy ezek „feltehetően” további, a fehér kalaposok által visszaszerzett Coldcard-pénzeszközök, bár csapata egyelőre nem tudja megerősíteni azok eredetét.

Ez az óvatosság azért fontos, mert Thorn egy sokkal nagyobb összeget érintő támadást próbál rekonstruálni. Az 1., 2. és 3. hullámra vonatkozó számításai, a trösztalapokkal együtt, 1 393 BTC-t tesznek ki, ami a közzétett Coldcard-támadás során ellopott teljes összeg 76,1%-át jelenti. Csak az 1. hullám maradt érintetlen, 1 082,57 BTC-vel. A 3. hullámból 116,98 BTC érintetlen, míg 97,09 BTC-t coinjoined-del kevertek össze, vagy a Thorchainen keresztül az Ethereumra irányítottak, majd a támadók a Tornado Cash segítségével keverték össze az étert. Ezzel szemben az AX, AA és AU lábnyomokat ma már „100%-ban fehérsapkásnak” tekintik.

Mi a helyzet a többi bitcoinnal?

A rejtély még nem oldódott meg teljesen. Thorn szerint a kutatók még mindig nem tudják, hogy a 2. hullám fennmaradó 60%-át rosszindulatú támadók vagy egy másik „fehér kalapos” csoport vitte el. Annyit azonban elmondhat, hogy a két rész esetében úgy tűnik, különböző szereplők állnak a háttérben. Thorn beszélt a Wave 2 mindkét részében érintett egyes Coldcard-áldozatokkal is, ami megerősíti a kapcsolatot ezek és a szélesebb körű Coldcard-incidens között.

„Nem tudjuk, hogy a Wave 2-ben eltulajdonított források fennmaradó 60%-a szintén fehérkalaposok kezében van-e” – írta Thorn. Elmondta, hogy függetlenül attól, hogy fehér kalaposokról van-e szó vagy sem, a fennmaradó érmék kezelését úgy tűnik, hogy „egy másik szereplő (vagy szereplők)” végezte, nem pedig az a csoport, amelynek bitcoinjai végül a Crypto Recovery Trust-hoz kerültek. Más szavakkal: a nyomozók most már magyarázatot tudnak adni arra a nagy részre, amely kezdetben lopott bitcoinnak tűnt, de egy másik jelentős rész sorsa továbbra is rejtély marad.

A bitcoin tényleges tulajdonosának azonosítása

A coinok visszaszerzése újabb problémát vet fel: hogyan állapíthatja meg egy alapítvány, hogy ki volt a valódi tulajdonosuk, ha mind az áldozat, mind a támadó rendelkezhet olyan hitelesítő adatokkal, amelyekkel hozzáférhet a pénztárcához? Amikor egy X-felhasználó feltette ezt a kérdést Thornnak, ő azt válaszolta, hogy több bizonyíték is létezik, amelyeket kombinálni lehet, ahelyett, hogy egyetlen, végleges tesztre támaszkodnának.

„Többféleképpen is meg lehet csinálni” – válaszolta Thorn, utalva arra, hogy „több bizonyíték együttesen meggyőzőbb”. A felsorolt bizonyítékok között szerepelt az eszközforenzika, amely megmutatja, ki hozta létre először a magot; a tőzsdék „ismerd meg az ügyfeledet” (KYC) nyilvántartásai, amelyekből kiderül, hogy kivonások történtek egy olyan címre, amelyet később kiürítettek; az áldozatok által korábban neki átadott xpub vagy zpub kiterjesztett nyilvános kulcs; valamint egy korai FBI-jelentés.

A Crypto Recovery Trust lehetővé teszi a Coldcard-áldozatok számára is, hogy átkutassák a címeiket, és meghatározzák, vajon a bitcoinjaik között vannak-e a fehér kalaposok által megmentett pénzeszközök.

A versenyt elindító Coldcard-hiba

Thorn nyomozói munkája mögött egy Coldcard firmware-hiba áll, amely gyengítette a pénztárca magjainak generálását, lehetővé téve a támadók számára, hogy távolról rekonstruálják a magokat. Július 30-tól kezdődően a sebezhetőség végül több mint 8 600 címet és körülbelül 1 779 BTC-t érintett.

Thorn legújabb felfedezése új fordulatot hozott. Lényegében a „fehér kalaposok” is felfedezték a sebezhető érméket, megelőzve a támadókat 52,37 BTC esetében, és biztonságos őrizetbe vették azokat. Most az a kihívás, hogy igazolják a tulajdonjogot, és visszajuttassák a bitcoinokat jogos tulajdonosaikhoz.