ZachXBT nekter å spore Coldcard-hacket på 88 millioner dollar

ZachXBT sier han har «mindre forpliktelse» til å hjelpe

Den produktive onchain-etterforskeren, kjent for å avsløre hackerne bak noen av kryptos største tyverier, skrev på X at han for øyeblikket ikke har planer om å overvåke eller spore Coldcard-hendelsen. Han sa at tiden hans er fokusert på økosystemer som verdsetter arbeidet hans, og la til at Bitcoin-maxier ikke er givere eller støttespillere av undersøkelsene hans, så han har mindre forpliktelse til å hjelpe.

Uttalelsen kom idet Coldcard-bruddet gikk inn i sin femte dag og den løpende totalsummen fortsatte å stige. ZachXBT har tidligere jobbet pro bono med store saker, og innlegget hans antyder at det er et stort gap mellom velviljen Bitcoin-miljøet har vist ham og innsatsen han blir bedt om å legge ned når noe går galt.

Coldcard-bruddet så langt

Utnyttelsen kan spores tilbake til en fastvarefeil i maskinvarelommebøker laget av den canadiske produsenten Coinkite. Feilen påvirket Coldcard Mk3-enheter som kjørte versjonene 4.0.1 til 4.1.9, og førte til at noen lommebøker genererte seed-entropi via en programvarebasert tilfeldigtallgenerator i stedet for maskinvarens dedikerte brikke, en defekt som gjorde enkelte seed-er gjettbare.

Den første bølgen traff 30. juli da omtrent 594 BTC, verdt rundt 38 millioner dollar på det tidspunktet, ble tappet fra nær 500 inaktive adresser på under 30 minutter. Coinkite lanserte oppdatert fastvare innen to dager, men skaden fortsatte å spre seg, og innen 2. august hadde Galaxy Research sporet den løpende totalsummen til 1 367 BTC, verdt 88,6 millioner dollar, hentet fra 4 585 adresser på tvers av tre separate angrepsbølger.

Tempoet og presisjonen i tyveriene ga næring til spekulasjoner om at automatiserte verktøy, muligens AI-assisterte, hjalp angriperen med å identifisere og tømme sårbare adresser i løpet av minutter ved hver runde. Tyveriet fortsatte å vokse selv mens børsinnskudd fra de stjålne midlene skjøt i været og eldre, tidligere inaktive BTC knyttet til saken begynte å bevege seg igjen.

Datalagring bidrar til kritikken

Coinkites håndtering av etterspillet har blitt sin egen kontrovers, ettersom selskapet sendte e-post til alle kunde-adresser det kunne nå fra butikk- og nyhetsbrevregistrene sine, noen helt tilbake til 2019, for å advare dem om feilen.

Det motsa tidligere påstander fra CEO Rodolfo Novak om at Coinkite slettet kundedata 90 dager etter et kjøp og tilbød anonyme kjøpsalternativer. Coinkite innrømmet senere at de beholder e-postadresser knyttet til kjøp på ubestemt tid og erkjente at de mangler en slettepolicy for disse dataene, en opplysning som utløste sin egen bølge av kritikk, uavhengig av selve hacket.

Novak har forsvart selskapets samlede sikkerhetshistorikk og påpekt at konkurrenter opplever brudd jevnlig, og at Coinkite tar saken svært alvorlig. Likevel har episoden allerede begynt å svekke tilliten til egen oppbevaring, og kan presse mer forsiktige investorer tilbake mot børsnoterte fond i stedet for å forvalte egne nøkler.

Saken har også utviklet seg til onchain-drama utover selve tyveriet. Et frekt tilbud om bitcoin-hvitvasking rettet mot hackeren ble publisert direkte på Bitcoins blokkjede, og gjorde saken til et offentlig skue som utspiller seg i sanntid på tvers av sosiale medier og onchain-data.

Når tungvektere som ZachXBT trekker seg tilbake, faller byrden med å spore de stjålne 1 367 BTC nå i større grad på firmaer som Galaxy Research, som har publisert oppdateringer bølge for bølge etter hvert som angriperens lommebokaktivitet utvikler seg. Det har kommet rapporter om at entropifeilen som påvirker Coldcard Mk3-enheter kan spores tilbake til en fastvarebygging fra mars 2021, noe som betyr at enhver lommebok-seed generert på den versjonen gjennom mer enn fire år fortsatt kan være eksponert inntil eiere roterer til en ny seed på den oppdaterte fastvaren.