Topi Putih Menewaskan Penyerang Coldcard, Menyelamatkan Jutaan Dolar dalam Bitcoin

Eksploit Coldcard kelihatan seperti bencana yang jelas apabila bitcoin mula hilang daripada dompet yang terdedah pada musim panas ini. Penyerang telah menemui bahawa sebahagian seed Coldcard boleh dibina semula secara luar talian, dan perlumbaan pun bermula untuk sampai kepada syiling yang terdedah. Namun, siasatan Thorn telah mendedahkan satu kelainan yang menarik dalam kisah itu.

Sebahagian daripada individu yang menyapu dompet-dompet tersebut sebenarnya bukan pencuri. Mereka ialah penggodam white hat yang cuba mendahului pencuri untuk mendapatkan wang itu, dan sekurang-kurangnya 52.37 BTC nampaknya telah terselamat daripada perlumbaan tersebut.

Thorn Mengesan 52.37 BTC Menuju ke Sebuah Amanah

“COLDCARD WHITE HAT MOVES FUNDS TO TRUST,” tulis Thorn pada hari Selasa, sebelum menghuraikan apa yang dikesannya di rantaian (onchain). Menurut penyelidik Galaxy itu, “52.37 BTC yang terdiri daripada syiling dari Wave 2, Footprints AA, AU, AX” telah disatukan ke dalam satu alamat baharu pada blok 967,948.

Transaksi itu malah membawa mesej OP_RETURN yang berbunyi “claim:cryptorecoverytrust dot com,” yang pada asasnya meninggalkan penanda di rantaian yang menjelaskan ke mana bitcoin yang diselamatkan itu pergi. Thorn mengira syiling yang diselamatkan itu berjumlah “2.8% daripada eksploit Coldcard.” Yang lebih penting, analisisnya mengubah gambaran mengenai Wave 2, salah satu daripada beberapa kumpulan transaksi yang telah dijejaki oleh penyelidik sejak pengaliran dana bermula.

“Kini kita tahu bahawa ~40% daripada Wave 2 sebenarnya ialah white hat yang menyapu syiling untuk melindungi dana mangsa,” jelas Thorn. Syiling tersebut, tambahnya, “kini nampaknya telah dihantar ke alamat yang dikawal oleh Crypto Recovery Trust,” sebuah amanah di Wyoming yang ditubuhkan untuk membantu white hat yang sah memulangkan aset yang dipulihkan kepada mangsa.

Angkanya Menjadi Lebih Pelik

52.37 BTC—bernilai lebih daripada $4.4 juta, setakat tulisan ini—mungkin bukan keseluruhan jumlah. Thorn turut mengesan tambahan 3.0134 BTC memasuki alamat Crypto Recovery Trust dalam transaksi yang sama, tetapi beliau dengan sengaja berhati-hati untuk memasukkannya dalam kiraan.

“Kita belum pernah melihat syiling ini sebelum ini,” tulisnya dalam rangkaian catatan X, sambil menambah bahawa ia “mungkin” dana Coldcard tambahan yang dipulihkan oleh white hat, walaupun pasukannya masih belum dapat mengesahkan asal-usulnya.

Kehati-hatian itu penting kerana Thorn sedang cuba menyusun semula sebuah eksploit yang melibatkan jumlah wang yang jauh lebih besar. Perakaunannya bagi Waves 1, 2, dan 3, bersama dana amanah tersebut, meliputi 1,393 BTC, atau 76.1% daripada jumlah eksploit Coldcard yang diterbitkan. Wave 1 sahaja masih tidak disentuh pada 1,082.57 BTC. Wave 3 mempunyai 116.98 BTC yang tidak disentuh, manakala 97.09 BTC telah melalui coinjoin atau dialirkan melalui Thorchain ke Ethereum, dan kemudian penyerang menggunakan Tornado Cash untuk mencampurkan ether. Footprints AX, AA dan AU, sebaliknya, kini dianggap “100% white-hatted.”

Bagaimana Pula Dengan Baki Bitcoin?

Misteri itu belum selesai sepenuhnya. Thorn berkata penyelidik masih tidak tahu sama ada baki 60% dana Wave 2 telah diambil oleh penyerang berniat jahat atau oleh kumpulan white hat yang lain. Apa yang beliau boleh katakan ialah kedua-dua bahagian itu nampaknya melibatkan operator yang berbeza. Thorn juga telah bercakap dengan mangsa Coldcard individu yang diwakili dalam kedua-dua bahagian Wave 2, sekali gus mengukuhkan kaitan antara transaksi tersebut dengan insiden Coldcard yang lebih luas.

“Kami tidak tahu sama ada 60% dana lain yang diambil dalam Wave 2 juga white hat,” tulis Thorn. Beliau berkata bahawa, sama ada white hat atau tidak, baki syiling itu nampaknya telah dikendalikan oleh “operator (atau operator-operator) yang berbeza” daripada kumpulan yang akhirnya menghantar bitcoin mereka ke Crypto Recovery Trust. Dengan kata lain, penyiasat kini boleh menerangkan sebahagian besar daripada apa yang pada awalnya kelihatan seperti bitcoin yang dicuri, tetapi satu timbunan besar yang lain masih menjadi teka-teki.

Membuktikan Siapa Sebenarnya Memiliki Bitcoin Itu

Memulihkan syiling mewujudkan satu lagi masalah: Bagaimana sebuah amanah menentukan siapa yang benar-benar memilikinya apabila kedua-dua mangsa dan penyerang mungkin memiliki kelayakan yang mampu mengakses dompet tersebut? Apabila seorang pengguna X mengemukakan soalan itu kepada Thorn, beliau berkata terdapat beberapa jenis bukti yang boleh digabungkan, bukannya bergantung pada satu ujian muktamad.

“Boleh dibuat dengan beberapa cara,” jawab Thorn, mencadangkan bahawa “gabungan beberapa [bukti] mewujudkan berat bukti.” Antara bukti yang disenaraikannya ialah forensik peranti yang menunjukkan siapa yang mencipta seed terlebih dahulu, rekod kenali-pelanggan-anda (KYC) bursa yang menunjukkan pengeluaran ke sebuah alamat yang kemudiannya dikeringkan, mangsa yang sebelum ini memberikan beliau kunci awam lanjutan xpub atau zpub, serta laporan awal FBI.

Crypto Recovery Trust juga membolehkan mangsa Coldcard mencari alamat mereka untuk menentukan sama ada bitcoin mereka mungkin termasuk dalam dana yang diselamatkan oleh white hat.

Pepijat Coldcard Yang Memulakan Perlumbaan

Di sebalik kerja detektif Thorn ialah pepijat firmware Coldcard yang melemahkan penjanaan seed dompet, membolehkan penyerang membina semula seed dari jauh. Bermula 30 Julai, eksploit itu akhirnya menjejaskan lebih daripada 8,600 alamat dan kira-kira 1,779 BTC.

Penemuan terbaru Thorn menambah satu kelainan. Pada asasnya, white hat turut menemui syiling yang terdedah, mendahului penyerang untuk 52.37 BTC dan memindahkannya ke dalam jagaan perlindungan. Kini cabarannya ialah membuktikan pemilikan dan memulangkan bitcoin itu kepada pemilik yang sah.