Roubos de Coldcards disparam para US$ 88 milhões com aumento nos depósitos nas corretoras e movimentações de BTC antigo

Uma terceira onda amplia os danos

A Galaxy Research divulgou no X que as três supostas ondas esvaziaram cerca de 4.585 endereços e capturaram bitcoins no valor aproximado de US$ 88,6 milhões no momento da análise. O grupo de pesquisa alertou que suas conclusões são preliminares e baseadas inteiramente em dados publicamente disponíveis da blockchain do Bitcoin. Outro painel chamado Coldcard Sweep Watch estima o valor roubado em 1.158,8480 BTC às 17h (horário da costa leste dos EUA) no sábado.

De acordo com os pesquisadores da Galaxy, a primeira onda foi a maior, roubando 1.082,65 BTC de 1.195 endereços em 41 minutos no dia 30 de julho. Uma segunda operação coletou 76,16 BTC de 1.478 endereços no dia seguinte. A terceira onda se estendeu de 31 de julho a 1º de agosto e drenou cerca de 208 BTC de 1.912 endereços.

Essa terceira operação não parecia uma simples continuação das duas primeiras. As ondas 1 e 2 canalizaram os fundos por meio de um pequeno número de endereços coletores e de retenção. A onda 3, por outro lado, enviou os fundos das vítimas para 293 cofres P2WSH separados, um tipo de endereço de bitcoin que pode ocultar suas condições de gasto até que as moedas sejam movimentadas.

Esses cofres separados tornam mais difícil para observadores externos agruparem os fundos. A Galaxy explicou que a mudança poderia indicar que o invasor original reestruturou a operação depois que as primeiras varreduras se tornaram públicas, ou que outra parte encontrou o mesmo conjunto vulnerável de endereços. Os registros da blockchain, por si só, não permitem determinar qual explicação está correta.

A Galaxy relacionou a atividade a uma versão vulnerável do firmware do Coinkite Coldcard lançada em 17 de março de 2021. Nenhuma das moedas afetadas foi criada antes desse lançamento, e o endereço mediano das vítimas permaneceu inativo por cerca de 3,5 anos, o que corresponde ao comportamento esperado de um armazenamento frio de longo prazo.

Depósitos em exchanges trazem um segundo indício

Enquanto os pesquisadores mapeavam os supostos roubos, as corretoras centralizadas de criptomoedas registraram um aumento acentuado nos depósitos de bitcoin em 31 de julho. Dados compartilhados por Sani, do Timechainindex.com, mostraram entradas líquidas nas corretoras de 11.163 BTC durante o dia.

A River recebeu cerca de 3.679 BTC, seguida pela Binance com 3.224 BTC, pela Kraken com 2.848 BTC e pela OKX com 1.291 BTC. As entidades centralizadas receberam, juntas, 15.205 BTC de endereços não identificados, elevando significativamente seus saldos declarados em um único dia.

Grandes entradas nas corretoras costumam chamar a atenção, pois as moedas depositadas nessas plataformas podem estar destinadas à venda, à garantia ou a transferências internas de custódia. Os dados não comprovam que os depósitos de 31 de julho tenham vindo de usuários do Coldcard, de invasores ou de qualquer pessoa que estivesse reagindo diretamente ao incidente.

O momento ainda é bastante notável. Um susto de segurança pode, sem dúvida, levar os detentores a reorganizar o armazenamento, transferir moedas para corretoras ou abandonar configurações de carteiras nas quais não confiam mais. Isso também pode coincidir com transferências institucionais não relacionadas, depósitos de clientes e registros contábeis das corretoras, tornando o pico de entrada importante, mas inconclusivo.

Grande quantidade de bitcoins inativos começa a circular

Um terceiro desdobramento surgiu quando um grande número de endereços criados entre 2010 e 2017 começou a movimentar moedas após nove a 16 anos de inatividade, de acordo com estatísticas coletadas pelo Bitcoin.com News a partir do site btcparser.com. As transações visíveis de 30 de julho a 1º de agosto totalizaram cerca de 306 BTC, incluindo transferências repetidas de 10 BTC e 30 BTC.

Um endereço criado em 2 de julho de 2010 movimentou uma antiga transação de coinbase de mais de 50 BTC. Outras transações incluíram 37,8 BTC de um endereço de 2014 e um conjunto coordenado de transferências de três carteiras criadas em 29 de julho de 2017. Essas três carteiras movimentaram 37,5 BTC e dois montantes separados de 30 BTC no mesmo bloco.

A atividade inativa não pode ser associada às varreduras da Coldcard com base nos dados disponíveis. Na verdade, a Galaxy Research detalhou que as moedas das supostas vítimas foram todas criadas após o lançamento do firmware vulnerável em 2021, enquanto muitas das carteiras inativas recém-ativadas já possuíam bitcoins anos antes da existência da Coldcard.

No entanto, assim como a atividade nas corretoras relatada pela Sani, detentores de bitcoins (BTC) há muito inativos podem estar questionando suas configurações de segurança e transferindo fundos para alternativas, incluindo serviços de custódia.

Pelo que sabemos, a Galaxy Research divulgou que está monitorando sete endereços de armazenamento das duas primeiras ondas e 293 cofres da terceira. O primeiro gasto desses cofres poderia expor seus scripts e revelar se as mesmas chaves de assinatura ou estrutura de gastos aparecem em vários endereços.

Até o momento da publicação, o sentimento online permanecia profundamente pessimista, com o BTC sendo negociado abaixo de US$ 63.000, a exatamente US$ 62.326 por moeda.