Furturile de pe Coldcard au crescut la 88 de milioane de dolari, pe fondul creșterii depunerilor la burse și al mișcărilor de BTC vechi

Un al treilea val amplifică pagubele

Galaxy Research a dezvăluit pe X că cele trei valuri suspectate au golit aproximativ 4.585 de adrese și au capturat bitcoin în valoare de aproximativ 88,6 milioane de dolari la momentul analizei. Grupul de cercetare a avertizat că concluziile sale sunt preliminare și se bazează în întregime pe date publice din blockchain-ul Bitcoin. Un alt tablou de bord, numit Coldcard Sweep Watch, estimează valoarea furtului la 1.158,8480 BTC la ora 17:00 EDT, sâmbătă.

Potrivit cercetătorilor de la Galaxy, primul val a fost cel mai mare, sustrăgând 1.082,65 BTC de la 1.195 de adrese în 41 de minute, pe 30 iulie. O a doua operațiune a colectat 76,16 BTC de la 1.478 de adrese în ziua următoare. Al treilea val s-a întins de la 31 iulie până pe 1 august și a golit aproximativ 208 BTC de la 1.912 adrese.

Această a treia operațiune nu părea o simplă continuare a primelor două. Valurile 1 și 2 au canalizat fondurile printr-un număr redus de adrese colectoare și de depozitare. Valul 3, în schimb, a trimis fondurile victimelor în 293 de seifuri P2WSH separate, un tip de adresă Bitcoin care își poate ascunde condițiile de cheltuire până când monedele sunt transferate.

Seifurile separate îngreunează gruparea fondurilor de către observatorii externi. Galaxy a explicat că această schimbare ar putea indica faptul că atacatorul inițial și-a reorganizat operațiunea după ce primele acțiuni de colectare au devenit publice, sau că o altă parte a descoperit același grup vulnerabil de adrese. Înregistrările blockchain nu pot determina, pe cont propriu, care dintre explicații este corectă.

Galaxy a asociat această activitate cu o versiune vulnerabilă de firmware pentru Coinkite Coldcard lansată pe 17 martie 2021. Niciuna dintre monedele afectate nu a fost creată înainte de acea lansare, iar adresa mediană a victimelor rămăsese inactivă timp de aproximativ 3,5 ani, ceea ce corespunde comportamentului așteptat în cazul stocării la rece pe termen lung.

Depozitele la platformele de schimb reprezintă un al doilea indiciu

Pe măsură ce cercetătorii au cartografiat furturile suspectate, platformele centralizate de tranzacționare a criptomonedelor au înregistrat o creștere bruscă a depozitelor de bitcoin pe 31 iulie. Datele împărtășite de Sani de la Timechainindex.com au arătat intrări nete pe platforme de tranzacționare de 11.163 BTC în cursul zilei.

River a primit aproximativ 3.679 BTC, urmată de Binance cu 3.224 BTC, Kraken cu 2.848 BTC și OKX cu 1.291 BTC. Entitățile centralizate au primit în total 15.205 BTC de la adrese neidentificate, ceea ce a dus la o creștere masivă a deținerilor raportate într-o singură zi.

Fluxurile mari către platformele de tranzacționare atrag adesea atenția, deoarece monedele depuse pe aceste platforme pot fi destinate vânzării, utilizării ca garanție sau transferurilor interne de custodie. Datele nu confirmă faptul că depozitele din 31 iulie au provenit de la utilizatori Coldcard, atacatori sau oricine altcineva care a reacționat direct la incident.

Momentul ales este totuși destul de remarcabil. O alertă de securitate poate, cu siguranță, să îi determine pe deținători să-și reorganizeze stocarea, să-și transfere monedele către platforme de tranzacționare sau să renunțe la configurațiile de portofel în care nu mai au încredere. De asemenea, acest fenomen poate coincide cu transferuri instituționale fără legătură cu incidentul, cu depozitele clienților și cu operațiunile contabile ale platformelor de tranzacționare, ceea ce face ca acest vârf al fluxurilor de intrare să fie important, dar neconcludent.

O mulțime de Bitcoin inactiv începe să se miște

O a treia evoluție a apărut odată ce un număr mare de adrese create între 2010 și 2017 au început să transfere monede după nouă până la 16 ani de inactivitate, conform statisticilor colectate de Bitcoin.com News de pe btcparser.com. Tranzacțiile vizibile din perioada 30 iulie – 1 august au totalizat aproximativ 306 BTC, incluzând transferuri repetate de 10 BTC și 30 BTC.

O adresă creată pe 2 iulie 2010 a transferat o tranzacție veche de tip „coinbase” de peste 50 BTC. Alte tranzacții au inclus 37,8 BTC de la o adresă din 2014 și un grup coordonat de transferuri de la trei portofele create pe 29 iulie 2017. Aceste trei portofele au transferat 37,5 BTC și două sume separate de câte 30 BTC în același bloc.

Din datele disponibile, activitatea portofelelor inactive nu poate fi corelată cu operațiunile de „curățare” ale Coldcard. De fapt, Galaxy Research a precizat că monedele victimelor suspectate au fost toate create după lansarea firmware-ului vulnerabil în 2021, în timp ce multe dintre portofelele inactive recent activate dețineau bitcoin cu ani înainte ca Coldcard să existe.

Cu toate acestea, la fel ca în cazul activității de schimb raportate de Sani, deținătorii de bitcoin (BTC) inactivi de mult timp ar putea să-și pună la îndoială configurațiile de securitate și să-și transfere fondurile către alternative, inclusiv servicii de custodie.

Din câte știm, Galaxy Research a dezvăluit că monitorizează șapte adrese de deținere din primele două valuri și 293 de seifuri din al treilea. Prima cheltuială din aceste seifuri ar putea expune scripturile lor și ar putea dezvălui dacă aceleași chei de semnare sau aceeași structură de cheltuieli apar la mai multe adrese.

La momentul publicării, sentimentul online rămânea profund pesimist, BTC tranzacționându-se sub 63.000 de dolari, mai exact la 62.326 de dolari pe monedă.