Coldcard-hacker gjenopptar flyttingen av stjålne 30 BTC til ny lommebok

Hackeren blir stille, så flytter han igjen

For bare noen timer siden dukket hackeren bak den største delen av tyveriet, som holder 2 055 BTC verdt rundt 130 millioner dollar, opp igjen for å flytte 30,185 BTC, verdt omtrent 1,94 millioner dollar, til en nyopprettet lommebok. Andre onchain-etterforskere bekreftet overføringen i løpet av minutter fra hverandre og beskrev det som hackerens første aktivitet siden det innledende tyveriet.

Flyttingen er liten relativt til hackerens totale beholdning og utgjør rundt 1,5 % av de stjålne midlene, men den er betydningsfull fordi den bryter et mønster av dvale som hadde fått etterforskere og det bredere Bitcoin-miljøet til å følge med på en ellers urørt bunke stjålne mynter.

Bitcoin.com News rapporterte tidligere at tyveriet, som rammet Coldcard Mk3-enheter som kjørte sårbar fastvare, passerte 116 millioner dollar på tvers av mer enn 1 800 BTC hentet fra over 5 200 adresser, etter hvert som ytterligere bølger av tømming ble avdekket i ukene etter den første offentliggjøringen.

Hva overføringen potensielt betyr

Onchain-analytikere tolker ofte en inaktiv hackers første bevegelse av stjålne midler som et tidlig signal om et forsøk på å cashe ut, siden angripere vanligvis må flytte mynter gjennom en serie lommebøker, miksere eller krysskjedebroer før de forsøker å konvertere dem til andre eiendeler eller fiatvaluta uten umiddelbart å tiltrekke seg oppmerksomhet.

Coldcard-hackerens situasjon kompliseres av hvor nøye de stjålne midlene har blitt overvåket, gitt at han tidligere mottok et frekt tilbud fra en annen part som foreslo å hjelpe til med å hvitvaske midlene direkte onchain, en uvanlig offentlig tilnærming med tanke på hvor mye gransking lommebøkene som er involvert har fått fra det bredere sikkerhetsmiljøet.

Separat har onchain-etterforsker ZachXBT sagt at han ikke har planer om personlig å spore de stjålne midlene, og overlater det arbeidet til andre forskere og den håndfullen blokkjedeanalyse-kontoer som har holdt lommebøkene under tett oppsyn siden utnyttelsen først ble kjent.

En påminnelse om utnyttelsens omfang

Den underliggende sårbarheten kan spores tilbake til en fastvarefeil i Coldcard-enheter laget av den Toronto-baserte produsenten Coinkite, som gjorde at enkelte enheter genererte frø med bare en brøkdel av den tiltenkte kryptografiske tilfeldigheten. Det gjorde langsiktige innehavere som genererte lommebøker på berørte fastvareversjoner, utsatt for brute-force-angrep som kunne rekonstruere deres private nøkler.

Bitcoin.com News har rapportert at kanadiske brukere alene sto for omtrent en fjerdedel av alle sporbare tap, en detalj som samsvarer med Coinkites egen base i Toronto og antyder at de berørte enhetene kan ha sirkulert mer i det markedet.

Den fornyede aktiviteten fra en av utnyttelsens største enkeltmottakere vil trolig vekke oppmerksomheten rundt en historie som hadde begynt å roe seg etter hvert som tempoet i nye tømminger avtok. For ofre som fortsatt håper på en vei til gjenoppretting, beviser det at en hacker flytter midler at myntene fortsatt eksisterer og fortsatt kan spores på et offentlig register, men det øker også sannsynligheten for at i det minste en del av de stjålne bitcoinene snart blir langt vanskeligere å følge.

I løpet av de kommende dagene vil eksperter sannsynligvis følge nøye med på mottakerlommeboken for eventuell videre bevegelse, siden påfølgende overføringer ofte avslører om en hacker tester en hvitvaskingsrute, konsoliderer midler foran en større flytting, eller reagerer på et ytre press.