Chainalysis ha scoperto che l’autore dell’attacco a Coldcard ha sottratto circa 30 milioni di dollari in 10 minuti, concentrandosi sui portafogli più consistenti. Il prelievo, pari a oltre 38 milioni di dollari, ha interessato 500 portafogli e ha messo in luce rischi persistenti per i seed generati su firmware vulnerabili.
L'autore dell'attacco a Coldcard ha rubato 30 milioni di dollari in 10 minuti prendendo di mira i portafogli più consistenti
SCRITTO DA
CONDIVIDI
Punti chiave
- L’autore dell’attacco ha sottratto circa 30 milioni di dollari nei primi 10 minuti.
- Gli investigatori hanno identificato 500 portafogli delle vittime svuotati nel giro di 25 minuti.
- I seed vulnerabili devono essere sostituiti, anche dopo l’installazione dell’hotfix.
L’autore dell’attacco ha preso di mira i portafogli Coldcard con i saldi più elevati
La società di analisi blockchain Chainalysis ha rivelato il 31 luglio che l’autore dell’attacco ha preso di mira fin dall’inizio i portafogli hardware Coldcard di alto valore, aumentando rapidamente l’importo totale sottratto. La società ha scoperto che tre dei 10 portafogli più grandi coinvolti contenevano almeno 10 BTC, per un valore di circa 636.000 dollari al momento dell’analisi.
Una vittima ha perso circa 1,8 milioni di dollari, mentre il valore complessivo sottratto ha raggiunto i 30 milioni di dollari nei primi 10 minuti dell’operazione. La sequenza degli eventi suggerisce che l’autore dell’attacco abbia esaminato la popolazione di portafogli disponibili prima di dare il via all’attacco sistematico. Chainalysis ha riferito:
«Questo schema suggerisce che l’autore dell’attacco abbia studiato la popolazione di portafogli delle vittime prima di procedere.»
In circa 25 minuti, l’autore dell’attacco ha svuotato 500 portafogli distinti, generando un forte aumento del valore sottratto prima di passare ai saldi più modesti. Chainalysis ha utilizzato la propria piattaforma investigativa Reactor per esaminare il flusso di fondi, gli indirizzi delle vittime e la concentrazione delle perdite più ingenti.
La sequenza indica uno sforzo deliberato di massimizzare i proventi iniziali piuttosto che elaborare i portafogli in modo casuale o seguire il loro ordine di generazione originale. Dare priorità ai saldi più consistenti ha inoltre ridotto il rischio che avvisi, controlli da parte degli exchange o trasferimenti difensivi potessero limitare le opportunità più redditizie dell’autore dell’attacco.
Rintracciato un account di un servizio blockchain a pagamento durante le operazioni di svuotamento
L’indagine di Block sui prelievi dal portafoglio Coldcard è iniziata dopo che i team di ingegneria e sicurezza bitcoin dell’azienda hanno ricevuto segnalazioni relative a prelievi da portafogli esterni alla piattaforma Bitkey dell’azienda. Clay Garrett, responsabile tecnico di Bitkey, ha descritto un modello di richieste insolito che ha aiutato gli investigatori a identificare un sospetto flusso di lavoro operativo.
Gli investigatori hanno stabilito che l’operatore avesse utilizzato un account a pagamento presso un noto fornitore di servizi blockchain per interrogare gli indirizzi di origine e condurre attività correlate. Secondo quanto riferito, i registri interni del fornitore corrispondevano al numero, alla tempistica e alla sequenza sospette delle richieste con quella che Garrett ha definito una specificità straordinaria. Garrett ha dichiarato:
“Il fornitore stava fornendo i propri servizi standard in risposta a richieste che non ne rivelavano lo scopo più ampio.”
Block non ha trovato prove che il fornitore, di cui non è stato rivelato il nome, abbia partecipato consapevolmente al presunto furto o abbia aiutato intenzionalmente l’operatore a compierlo. L’azienda ha contattato direttamente il fornitore e ha iniziato a condividere le informazioni rilevanti con le autorità competenti, limitando al contempo le divulgazioni che avrebbero potuto compromettere le indagini.
L’avviso di Coinkite identifica il firmware Coldcard interessato
Mentre gli investigatori rintracciavano i fondi rubati, Coinkite ha ribadito quali dispositivi fossero interessati dalla vulnerabilità in questione. L’avviso di sicurezza della società relativo alla Coldcard Mk3 riguardava i dispositivi che generavano seed sulle versioni del firmware dalla 4.0.1 alla 5.0.3. I primi risultati hanno indicato che i modelli Mk4, Q e Mk5 non erano stati colpiti, mentre le segnalazioni hanno collegato circa 594 BTC, per un valore di quasi 38 milioni di dollari, a circa 500 portafogli inattivi svuotati nel giro di circa 25 minuti.
Molti indirizzi colpiti erano rimasti inattivi per anni e presentavano solitamente saldi compresi tra 0,15 BTC e 0,26 BTC. Coinkite ha raccomandato di creare un seed sostitutivo su un dispositivo non interessato, inviare una piccola transazione di prova, confermare l’indirizzo di destinazione sullo schermo dell’hardware e conservare il backup precedente fino al completamento della migrazione.
I seed vulnerabili rimangono esposti anche dopo gli aggiornamenti del firmware
I possessori di Coldcard che hanno generato seed utilizzando un firmware vulnerabile corrono rischi che l’installazione della sola patch più recente non è in grado di risolvere. Chainalysis ha consigliato agli utenti colpiti di creare un seed completamente nuovo su hardware aggiornato prima di trasferire i propri bitcoin dai portafogli compromessi.
L’azienda ha inoltre raccomandato l’uso di una passphrase BIP-39 complessa per una protezione aggiuntiva. Chainalysis continua a monitorare il portafoglio dell’autore dell’attacco, un indirizzo di consolidamento e le segnalazioni di attacchi potenzialmente in corso contro indirizzi che si sospetta derivino da chiavi private vulnerabili. Block ha dichiarato che renderà noti ulteriori risultati non appena ciò non comporterà più il rischio di interferire con le indagini.
Questo articolo è stato tradotto dall'inglese tramite IA. La versione originale in inglese è la fonte autorevole; le traduzioni automatiche possono contenere imprecisioni, in particolare nella terminologia legale e normativa.
