Uśpiony Bitcoin wybuchł, a wyniki z 10 dni sierpnia przewyższyły wyniki całego lipca

Ruchy te, zidentyfikowane za pomocą narzędzia do analizy łańcucha bloków Btcparser.com, dotyczą bitcoinów przechowywanych na adresach z lat 2010–2017. Porównanie to jest uderzające, ponieważ sierpniowy zbiór danych obejmuje jedynie dziesięć dni, a sam dzień 10 sierpnia jest nadal niekompletny, podczas gdy lipiec obejmuje prawie cały miesiąc.

W lipcu średnio przenoszono około 40,78 BTC na dzień kalendarzowy. W sierpniu tempo to wynosi 220,91 BTC dziennie, czyli ponad pięć razy więcej.

Aktywność nieaktywnych adresów Bitcoin nabiera tempa

Wzrost ten jest jeszcze bardziej wyraźny, jeśli weźmie się pod uwagę liczbę transakcji. W lipcu odnotowano 30 transakcji z nieaktywnych adresów, czyli nieco mniej niż jedną dziennie. Od 1 do 10 sierpnia serwis wykrył 85 transakcji, co daje średnio 8,5 dziennie. W sierpniu nie odnotowano jeszcze dnia całkowitej ciszy, podczas gdy aktywność w lipcu miała charakter znacznie bardziej sporadyczny, w tym okres prawie pięciu dni bez żadnego z monitorowanych ruchów.

Nie oznacza to jednak, że 85 oddzielnych długoterminowych posiadaczy nagle zdecydowało się przenieść swoje monety. Aktywność w łańcuchu bloków często występuje partiami, a w sierpniu odnotowano kilka wyraźnych skupisk, które mogą oznaczać, że poszczególni właściciele przeprowadzili operacje na wielu adresach jednocześnie. W ciągu ostatnich dziesięciu dni trzydzieści pięć transakcji z adresów utworzonych w 2014 r. spowodowało przepływ 854,42 BTC, podczas gdy 21 transakcji z adresów z 2016 r. spowodowało przepływ kolejnych 224,18 BTC. Dziewiętnaście z tych transakcji z 2016 r. opiewało dokładnie na 10 BTC każda, a daty utworzenia ich pierwotnych adresów skupiały się w czterodniowym okresie w październiku 2016 r.

Jednak nawet po uwzględnieniu tej koncentracji przyspieszenie odnotowane w sierpniu nie znika. Po wyeliminowaniu dwóch podejrzanych skupisk – grupy 33 transakcji powiązanych z adresami z 2014 r. oraz grupy 19 transakcji powiązanych z październikiem 2016 r. – pozostaje 1 215,15 BTC w ramach 33 pozostałych sierpniowych transakcji. Ta pozostała aktywność wynosi około 121,51 BTC dziennie, czyli prawie trzykrotnie więcej niż lipcowy dzienny wskaźnik nieaktywnej aktywności wynoszący 40,78 BTC.

Stare monety z sierpnia wyglądają zupełnie inaczej niż te z lipca

Zmienił się również profil wiekowy. W lipcu dominowały BTC przechowywane na starszych adresach bitcoinowych utworzonych w 2016 i 2017 r., które łącznie stanowiły około 71% śledzonego wolumenu w tym miesiącu. W sierpniu nastąpiło przesunięcie w kierunku starszych zasobów. Adresy utworzone w 2013 i 2014 roku stanowią około 71% bitcoinów, które zostały przetransferowane w ciągu pierwszych 10 dni.

Najbardziej radykalną zmianę odnotowano w grupie adresów z 2014 roku. W lipcu odnotowano zaledwie trzy transakcje o łącznej wartości 39,32 BTC. W sierpniu odnotowano 35 transakcji o łącznej wartości 854,42 BTC, choć niewielki odstęp czasowy między nimi oraz daty utworzenia adresów sugerują, że znaczna część tej aktywności pochodziła od jednego podmiotu, a nie od 35 niezależnych posiadaczy. Adresy utworzone w 2013 r. wniosły kolejne 711,11 BTC, w tym pojedynczy transfer 500 BTC w dniu 3 sierpnia.

3 sierpnia był dniem, który zdecydowanie wyróżniał się na tle pozostałych – w ramach ośmiu śledzonych transakcji przetransferowano 897,14 BTC. Ten jeden dzień stanowił około 40,6% wolumenu z pierwszych 10 dni i odpowiadał mniej więcej 71% wszystkich transakcji śledzonych w lipcu. Jednak ogólny wzorzec sierpniowy nie wynika wyłącznie z tego jednego dnia. W tym okresie codziennie przemieszczały się uśpione monety, w tym 14 transakcji 1 sierpnia i kolejne 14 7 sierpnia.

Wykorzystanie luki w zabezpieczeniach Coldcard rodzi niepokojące pytanie o zbieżność w czasie

Przyspieszenie nastąpiło bezpośrednio po tym, jak atak na portfel Coldcard wstrząsnął społecznością użytkowników przechowujących kryptowaluty we własnym zakresie, rodząc oczywiste pytanie, czy ten incydent związany z bezpieczeństwem skłonił długoletnich posiadaczy do ponownej oceny sposobu przechowywania swoich bitcoinów. Moment ten jest dość znaczący, ale dane z łańcucha bloków nie wskazują na związek przyczynowo-skutkowy między atakiem a ruchami uśpionych środków.

Co ważniejsze, śledzone tutaj stare adresy nie były portfelami Coldcard, które zostały naruszone w wyniku ataku. Ich historia sięga lat 2010–2017, czyli okresu poprzedzającego wprowadzenie Coldcard na rynek oraz podatnego na ataki oprogramowania sprzętowego z 2021 r., które było związane z tym incydentem bezpieczeństwa. Ruch na uśpionych adresach nie powinien zatem być traktowany jako dodatkowe skradzione środki. Co najwyżej ten zbieżność czasowa sugeruje, że szeroko nagłośnione naruszenie zachęciło dużą liczbę niepowiązanych długoterminowych posiadaczy do przeglądu starych kluczy, konsolidacji portfeli lub przeniesienia bitcoinów do nowszych rozwiązań przechowywania.

Istnieje interesujące opóźnienie, które idealnie pasuje do tej możliwości, choć jej nie potwierdza. Ruch środków z nieaktywnych portfeli pozostawał stosunkowo niewielki 30 i 31 lipca, po czym gwałtownie przyspieszył 1 sierpnia. Zautomatyzowana kradzież może nastąpić natychmiast, gdy tylko atakujący zdobędą użyteczne informacje o kluczu prywatnym. Ręczna obsługa portfeli wygląda inaczej. Posiadacze mogą najpierw przeczytać o problemie bezpieczeństwa, sprawdzić stare kopie zapasowe lub sprzęt, utworzyć nowe portfele, a dopiero potem przelać środki.

Wskazówki z łańcucha bloków wskazują na skoordynowane opróżnianie portfeli

Wskazówek dostarcza również struktura transakcji. Lipcowa aktywność rozłożyła się na 28 odrębnych bloków, przy czym tylko jeden blok zawierał wiele śledzonych wydatków. W sierpniu odnotowano dziewięć bloków z wieloma wydatkami, a 32 z 85 wydatków miały miejsce w ramach tych skoncentrowanych grup. Aktywność w sierpniu była około 8,7 razy większa, jeśli mierzyć ją liczbą bloków na jedną transakcję.

W sierpniu wielokrotnie pojawiał się jeden szczególnie intrygujący ślad: osiem kwot kończyło się na 547 satoshi, w tym niewielki ruch o wartości dokładnie 0,00000547 BTC. Satoshi to najmniejsza jednostka bitcoina, równa jednej setnej milionowej części monety. Powtarzający się sufiks w adresach z różnych okresów może wskazywać na wspólne oprogramowanie portfela, strukturę transakcji lub infrastrukturę do zrzucania środków, choć przed wyciągnięciem ostatecznych wniosków konieczne byłoby prześledzenie adresów odbiorców.

Szerszy kontekst rynkowy nie dostarcza wielu dowodów na wyprzedaż w panice. Kurs bitcoina odrobił spadek z początku sierpnia z poziomu około 62 200 do 62 300 dolarów i 10 sierpnia oscylował w pobliżu 65 000 dolarów, co oznacza wzrost o około 3% do 4% w tym okresie. Nie dowodzi to jednak, że uśpione transfery były raczej migracjami portfeli niż sprzedażą, ponieważ same transfery w łańcuchu bloków nie pozwalają ustalić motywacji właściciela ani tego, czy monety ostatecznie trafiły na giełdę.

Najwyraźniejszą odpowiedź może dostarczyć to, co stanie się z otrzymanymi monetami. Jeśli sierpniowe skupiska konsolidują się na nowych adresach i ponownie pozostaną nieaktywne, bardziej prawdopodobnym wyjaśnieniem będzie migracja portfeli podjęta jako środek ostrożności. Jeśli natomiast znaczne kwoty trafią dalej na giełdy, bardziej prawdopodobna staje się sprzedaż lub restrukturyzacja portfela.

Na razie ostateczny wniosek jest węższy, ale wciąż uderzający: po sporadycznym i jednocześnie mało dynamicznym lipcu nieaktywna aktywność bitcoinów gwałtownie przyspieszyła w sierpniu, a nawet po wyeliminowaniu najbardziej oczywistych skupisk portfeli stare monety przemieszczają się w tempie około trzykrotnie wyższym niż dzienne tempo z lipca.