O hacker do Coldcard retoma a transferência dos 30 BTC roubados para uma nova carteira

O hacker fica quieto, depois volta a agir

Há poucas horas, o hacker responsável pela maior parte do roubo, que detém 2.055 BTC no valor aproximado de US$ 130 milhões, reapareceu para transferir 30,185 BTC, no valor de cerca de US$ 1,94 milhão, para uma carteira recém-criada. Outros investigadores da cadeia de blocos confirmaram a transferência com poucos minutos de diferença entre si, descrevendo-a como a primeira atividade do hacker desde o roubo inicial.

A movimentação é pequena em relação ao total detido pelo hacker, representando cerca de 1,5% dos fundos roubados, mas é significativa porque rompe um padrão de inatividade que havia deixado os investigadores e a comunidade mais ampla do Bitcoin observando uma pilha de moedas roubadas que, de outra forma, permaneceria intocada.

O Bitcoin.com News havia informado anteriormente que o roubo, que afetou dispositivos Coldcard Mk3 com firmware vulnerável, ultrapassou US$ 116 milhões em mais de 1.800 BTC retirados de mais de 5.200 endereços, à medida que novas ondas de saques foram descobertas nas semanas após a divulgação inicial.

O que a transferência pode significar

Analistas on-chain costumam tratar o primeiro movimento de fundos roubados por um hacker inativo como um sinal precoce de uma tentativa de saque, já que os invasores normalmente precisam movimentar as moedas por uma série de carteiras, mixers ou pontes entre cadeias antes de tentar convertê-las em outros ativos ou moeda fiduciária sem chamar atenção imediatamente.

A situação do hacker do Coldcard é complicada pelo fato de os fundos roubados terem sido vigiados de perto, considerando que ele recebeu anteriormente uma oferta descarada de outra parte propondo ajudar a lavar os fundos diretamente na blockchain — uma abordagem pública incomum, dada a intensidade do escrutínio que as carteiras envolvidas têm recebido da comunidade de segurança em geral.

Por outro lado, o investigador on-chain ZachXBT afirmou que não tem planos de rastrear pessoalmente os fundos roubados, deixando esse trabalho para outros pesquisadores e para as poucas contas de análise de blockchain que mantêm as carteiras sob vigilância rigorosa desde que a vulnerabilidade veio à tona.

Um lembrete da magnitude da vulnerabilidade

A vulnerabilidade subjacente remonta a um bug de firmware nos dispositivos Coldcard fabricados pela Coinkite, com sede em Toronto, que fez com que certas unidades gerassem sementes com apenas uma fração da aleatoriedade criptográfica pretendida. Isso deixou os usuários de longa data que criaram carteiras nas versões afetadas do firmware expostos a ataques de força bruta capazes de reconstruir suas chaves privadas.

O Bitcoin.com News informou que somente os usuários canadenses foram responsáveis por cerca de um quarto de todas as perdas atribuíveis, um detalhe que se alinha à própria sede da Coinkite em Toronto e sugere que os dispositivos afetados podem ter circulado mais intensamente nesse mercado.

A retomada da atividade por parte de um dos maiores beneficiários individuais da vulnerabilidade provavelmente reacenderá a atenção sobre uma história que havia começado a se acalmar à medida que o ritmo de novos saques diminuía. Para as vítimas que ainda esperam algum caminho para a recuperação, o fato de um hacker movimentar fundos prova que as moedas ainda existem e permanecem rastreáveis em um livro-razão público, mas também aumenta as chances de que pelo menos uma parte dos bitcoins roubados esteja prestes a se tornar muito mais difícil de rastrear.

Nos próximos dias, os especialistas provavelmente acompanharão de perto a carteira de destino em busca de quaisquer movimentos adicionais, já que transferências subsequentes costumam revelar se um hacker está testando uma rota de lavagem, consolidando fundos antes de uma operação maior ou respondendo a alguma pressão externa.