Kradzież z Coldcard wzrosła do 88 mln dolarów w związku z gwałtownym wzrostem wpłat na giełdy i ruchami starych BTC

Trzecia fala zwiększa skalę szkód

Galaxy Research ujawniło na platformie X, że trzy podejrzane fale opróżniły około 4 585 adresów i przejęły bitcoiny o wartości około 88,6 mln dolarów w momencie przeprowadzania analizy. Grupa badawcza ostrzegła, że jej ustalenia mają charakter wstępny i opierają się wyłącznie na publicznie dostępnych danych z łańcucha bloków Bitcoin. Inny panel monitorujący o nazwie Coldcard Sweep Watch szacuje wartość skradzionych środków na 1 158,8480 BTC o godz. 17:00 czasu wschodnioamerykańskiego (EDT) w sobotę.

Według badaczy z Galaxy pierwsza fala była największa – 30 lipca w ciągu 41 minut z 1 195 adresów wykradzono 1 082,65 BTC. Druga operacja, przeprowadzona następnego dnia, przyniosła 76,16 BTC z 1 478 adresów. Trzecia fala trwała od 31 lipca do 1 sierpnia i doprowadziła do wyczerpania około 208 BTC z 1 912 adresów.

Ta trzecia operacja nie wyglądała na zwykłą kontynuację dwóch pierwszych. Fale 1 i 2 kierowały środki przez niewielką liczbę adresów zbierających i przechowujących. Natomiast w ramach fali 3 środki ofiar zostały wysłane do 293 oddzielnych skarbców typu P2WSH – rodzaju adresów bitcoinowych, które mogą ukrywać warunki wydatkowania środków do momentu przeniesienia monet.

Oddzielne skarbce utrudniają zewnętrznym obserwatorom zgrupowanie tych środków. Galaxy wyjaśniło, że zmiana ta może wskazywać, iż pierwotny atakujący przebudował operację po upublicznieniu pierwszych akcji wyczyszczenia, lub że inna strona odkryła tę samą podatną pulę adresów. Same zapisy w łańcuchu bloków nie pozwalają ustalić, które z tych wyjaśnień jest prawidłowe.

Galaxy powiązało tę aktywność z podatną na ataki wersją oprogramowania układowego Coinkite Coldcard, wydaną 17 marca 2021 r. Żadna z dotkniętych monet nie została utworzona przed tą wersją, a mediana adresów ofiar pozostawała nieaktywna przez około 3,5 roku, co odpowiada zachowaniu oczekiwanemu w przypadku długoterminowego przechowywania w trybie cold storage.

Wpłaty na giełdy stanowią drugi sygnał

Gdy badacze mapowali podejrzane kradzieże, scentralizowane giełdy kryptowalut odnotowały 31 lipca gwałtowny wzrost wpłat bitcoinów. Dane udostępnione przez Sani z serwisu Timechainindex.com wykazały napływ netto na giełdy w wysokości 11 163 BTC w ciągu tego dnia.

River otrzymał szacunkowo 3 679 BTC, a za nim uplasowały się Binance z 3 224 BTC, Kraken z 2 848 BTC oraz OKX z 1 291 BTC. Scentralizowane podmioty łącznie otrzymały 15 205 BTC z niezidentyfikowanych adresów, co spowodowało ogromny wzrost ich zgłoszonych zasobów w ciągu jednego dnia.

Duże napływy na giełdy często przyciągają uwagę, ponieważ monety zdeponowane na platformach handlowych mogą być przeznaczone do sprzedaży, jako zabezpieczenie lub do wewnętrznych transferów powierniczych. Dane nie potwierdzają, że wpłaty z 31 lipca pochodziły od użytkowników Coldcard, atakujących lub kogokolwiek, kto bezpośrednio zareagował na ten incydent.

Sam moment jest jednak dość znaczący. Obawy związane z bezpieczeństwem z całą pewnością mogą skłonić posiadaczy do reorganizacji sposobu przechowywania, przeniesienia monet na giełdy lub rezygnacji z portfeli, do których stracili zaufanie. Może to również zbiegać się w czasie z niepowiązanymi transferami instytucjonalnymi, wpłatami klientów i księgowaniem giełdowym, co sprawia, że skok napływu jest istotny, ale niejednoznaczny.

Duża ilość uśpionych bitcoinów zaczyna się przemieszczać

Trzecie zjawisko pojawiło się, gdy duża liczba adresów utworzonych w latach 2010–2017 zaczęła przenosić monety po dziewięciu do szesnastu latach bezczynności, zgodnie ze statystykami zebranymi przez Bitcoin.com News z serwisu btcparser.com. Widoczne transakcje w okresie od 30 lipca do 1 sierpnia wyniosły łącznie około 306 BTC, w tym powtarzające się przelewy w wysokości 10 BTC i 30 BTC.

Jeden adres utworzony 2 lipca 2010 r. zrealizował starą transakcję coinbase o wartości ponad 50 BTC. Inne transakcje obejmowały 37,8 BTC z adresu z 2014 r. oraz skoordynowaną serię przelewów z trzech portfeli utworzonych 29 lipca 2017 r. Te trzy portfele przesłały 37,5 BTC oraz dwie oddzielne kwoty po 30 BTC w tym samym bloku.

Na podstawie dostępnych danych nie można powiązać tej nieaktywnej aktywności z operacjami „sweep” przeprowadzonymi przez Coldcard. W rzeczywistości firma Galaxy Research szczegółowo wykazała, że monety domniemanych ofiar zostały wygenerowane po wydaniu podatnego na ataki oprogramowania w 2021 r., podczas gdy wiele z nowo aktywnych, nieaktywnych portfeli posiadało bitcoiny na długo przed powstaniem Coldcard.

Jednak podobnie jak w przypadku aktywności na giełdach, o której informował Sani, posiadacze bitcoinów (BTC) pozostających w stanie uśpienia od dłuższego czasu mogą kwestionować swoje zabezpieczenia i przenosić środki do alternatywnych rozwiązań, w tym do usług powierniczych.

Z tego, co wiemy, firma Galaxy Research ujawniła, że monitoruje siedem adresów przechowujących bitcoiny z dwóch pierwszych fal oraz 293 skarbce z trzeciej fali. Pierwsze wydatkowanie środków z tych skarbców mogłoby ujawnić ich skrypty i wykazać, czy te same klucze podpisujące lub struktura wydatkowania pojawiają się na wielu adresach.

W momencie publikacji tego artykułu nastroje w sieci pozostawały zdecydowanie niedźwiedzie, a cena BTC wynosiła poniżej 63 000 USD, a dokładnie 62 326 USD za monetę.