Haker znany jako „Coldcard” ponownie przenosi skradzione 30 BTC na nowy portfel

Haker zamilkł, a potem znów się uaktywnił

Zaledwie kilka godzin temu haker odpowiedzialny za największą część kradzieży, posiadający 2 055 BTC o wartości około 130 mln dolarów, ponownie dał o sobie znać, przenosząc 30,185 BTC o wartości około 1,94 mln dolarów do nowo utworzonego portfela. Inni badacze sieci potwierdzili ten transfer w odstępie zaledwie kilku minut, opisując go jako pierwszą aktywność hakera od czasu pierwotnej kradzieży.

Transakcja ta jest niewielka w porównaniu z całkowitymi zasobami hakera, stanowiąc około 1,5% skradzionych środków, ale ma duże znaczenie, ponieważ przerywa okres bezczynności, który sprawiał, że śledczy i szeroka społeczność Bitcoin obserwowali dotychczas nietkniętą pulę skradzionych monet.

Serwis Bitcoin.com News informował wcześniej, że kradzież, która dotknęła urządzenia Coldcard Mk3 z podatnym na ataki oprogramowaniem, przekroczyła 116 milionów dolarów w postaci ponad 1 800 BTC wycofanych z ponad 5 200 adresów, a kolejne fale wypłat zostały wykryte w tygodniach po pierwszym ujawnieniu sprawy.

Co potencjalnie oznacza ten transfer

Analitycy Onchain zazwyczaj traktują pierwszy ruch skradzionych środków przez uśpionego hakera jako wczesny sygnał próby wypłaty, ponieważ atakujący zazwyczaj muszą przepuszczać monety przez szereg portfeli, mikserów lub mostów międzyłańcuchowych, zanim spróbują zamienić je na inne aktywa lub walutę fiducjarną bez natychmiastowego przyciągania uwagi.

Sytuację hakera z Coldcard komplikuje fakt, jak ściśle obserwowane są skradzione środki, biorąc pod uwagę, że wcześniej otrzymał on bezczelną ofertę od innej strony proponującej pomoc w praniu środków bezpośrednio w łańcuchu bloków – co jest niezwykłą publiczną propozycją, biorąc pod uwagę, jak bardzo portfele te były poddawane analizie przez szerszą społeczność zajmującą się bezpieczeństwem.

Z kolei badacz łańcucha bloków ZachXBT oświadczył, że nie planuje osobiście śledzić skradzionych środków, pozostawiając to zadanie innym badaczom oraz nielicznym kontom zajmującym się analizą łańcucha bloków, które od momentu ujawnienia luki ściśle monitorują te portfele.

Przypomnienie o skali luki

Podstawowa luka wynika z błędu oprogramowania układowego w urządzeniach Coldcard produkowanych przez firmę Coinkite z siedzibą w Toronto, który spowodował, że niektóre egzemplarze generowały klucze początkowe o znacznie niższym poziomie zamierzonej losowości kryptograficznej. W rezultacie długoterminowi posiadacze, którzy utworzyli portfele na podatnych wersjach oprogramowania układowego, zostali narażeni na ataki metodą brute force umożliwiające odtworzenie ich kluczy prywatnych.

Serwis Bitcoin.com News poinformował, że sami kanadyjscy użytkownicy stanowili około jednej czwartej wszystkich strat, które można przypisać tej luki – szczegół ten pokrywa się z faktem, że firma Coinkite ma siedzibę w Toronto, i sugeruje, że urządzenia, których dotyczy problem, mogły być znacznie bardziej rozpowszechnione na tym rynku.

Wznowiona aktywność jednego z największych pojedynczych beneficjentów luki prawdopodobnie ponownie zwróci uwagę na sprawę, która zaczęła cichnąć wraz ze spowolnieniem tempa nowych wypłat. Dla ofiar wciąż mających nadzieję na odzyskanie środków fakt, że haker przenosi środki, dowodzi, że monety nadal istnieją i można je śledzić w publicznym rejestrze, ale zwiększa to również prawdopodobieństwo, że przynajmniej część skradzionych bitcoinów wkrótce stanie się znacznie trudniejsza do wyśledzenia.

W ciągu najbliższych kilku dni eksperci będą prawdopodobnie bacznie obserwować portfel docelowy pod kątem dalszych ruchów, ponieważ kolejne przelewy często ujawniają, czy haker testuje trasę prania pieniędzy, konsoliduje środki przed większym ruchem, czy też reaguje na jakąś presję z zewnątrz.