Hack-ul Coldcard a ajuns la 116 milioane de dolari. Un al patrulea val continuă să provoace pierderi

Patru valuri în patru zile

Ceea ce a început ca un furt estimat la 30 de milioane de dolari s-a triplat cu mult în mai puțin de o săptămână. Bitcoin.com News a raportat pentru prima dată exploatarea imediat ce a apărut, cifra crescând odată cu fiecare nou val de tranzacții pe care atacatorii le-au extras din portofelele generate de Coldcard: de la un val inițial care a transferat 30 de milioane de dolari în primele zece minute, la aproximativ 75 de milioane de dolari după un al doilea val, până la aproape 89 de milioane de dolari pe măsură ce furtul s-a extins la 4.500 de adrese.

Cifra se ridică acum la aproximativ 116 milioane de dolari, reprezentând 1.816 BTC sustrase de la peste 5.200 de adrese individuale. Galaxy Research, care a urmărit atacul în timp real, a confirmat un al patrulea val pe 3 august, care, după corectarea cifrelor anterioare, a transferat aproximativ 449 BTC.

Directorul companiei, Alex Thorn, a descris cea mai recentă activitate ca fiind probabil un „al patrulea val organizat” de furturi, indicând o rată de preluare de 13,8 transferuri pe bloc, comparativ cu o fereastră de control de doar 0,3 transferuri pe bloc înainte de incident, adică de aproximativ 45 de ori mai mare decât activitatea de bază normală.

Analiza lui Thorn sugerează că modelul indică existența mai multor grupuri care acționează în paralel în spațiul vulnerabil al cheilor, mai degrabă decât a unui singur atacator care își extinde metodic operațiunea – un detaliu important, deoarece implică faptul că furtul ar putea continua în valuri, pe măsură ce diferiți actori descoperă în mod independent ce adrese rămân expuse.

De ce este importantă vulnerabilitatea numerelor aleatorii

Cauza principală datează de mai înainte de această săptămână, deoarece o actualizare de firmware din 2021 pentru anumite dispozitive Coldcard a schimbat procesul de generare a seed-ului portofelului de la o sursă puternică de aleatoriu bazată pe hardware la un model software care s-a dovedit a fi previzibil, ceea ce înseamnă că orice seed de portofel creat pe firmware-ul afectat ar putea, în teorie, să fie ghicit, mai degrabă decât descoperit prin forță brută.

În timpul agitației inițiale, ZachXBT a refuzat să ajute la urmărirea fondurilor furate, lăsând victimele și cercetătorii independenți să se lupte cu atacatorii care înțeleseseră deja exact care adrese erau vulnerabile.

Acest avans este motivul pentru care cele mai mari portofele au fost afectate primele. Atacatorii au vizat cele mai mari solduri în câteva minute de la activarea vulnerabilității și, în aproximativ 25 de minute, au sustras deja sute de bitcoin din portofele cu semnătură unică, înainte ca majoritatea deținătorilor să aibă vreo indicație că fondurile lor erau în pericol.

Toate adresele compromise pot fi urmărite până la seed-urile portofelelor generate după livrarea firmware-ului defectuos în martie 2021, ceea ce înseamnă că fereastra de expunere a existat în tăcere timp de mai mult de cinci ani, până când cineva a descoperit-o și a început să o exploateze în această lună.

Răspunsul Coinkite și ce urmează

Coinkite, producătorul canadian din spatele Coldcard, a recunoscut direct amploarea pagubelor. Într-o declarație referitoare la furturile în curs, compania a afirmat „ultimele trei zile au fost printre cele mai grele din istoria acestei companii, iar pentru mulți dintre cei care citesc acest mesaj, au fost ceva mult mai grav” și a recomandat cu tărie tuturor celor care au generat o frază de inițializare a portofelului pe un dispozitiv Coldcard să-și transfere fondurile într-un portofel nou, generat în condiții de siguranță, cât mai curând posibil.

Victimele care încă parcurg acest proces au la dispoziție o fereastră de timp restrânsă pentru a încerca tranzacții de tip „Replace-By-Fee” asupra transferurilor neconfirmate, deși această opțiune este utilă doar dacă acțiunea de sustragere a atacatorului nu a fost deja confirmată pe lanțul de blocuri.

În cele din urmă, personalități din industrie, precum Anthony Pompliano, au respins afirmația conform căreia atacul ar fi vizat bitcoinul în sine, susținând că vulnerabilitatea se afla în mod clar în firmware-ul Coldcard, și nu în protocolul BTC.