Объем краж с Coldcard взлетел до 88 млн долларов на фоне резкого роста депозитов на биржах и перемещений старых BTC

Третья волна увеличивает масштаб ущерба

Galaxy Research сообщила в X, что три предполагаемые волны опустошили около 4 585 адресов и похитили биткоины на сумму примерно 88,6 млн долларов на момент проведения анализа. Исследовательская группа предупредила, что её выводы носят предварительный характер и основаны исключительно на общедоступных данных блокчейна Биткоина. Еще одна аналитическая панель под названием Coldcard Sweep Watch оценивает объем похищенных средств в 1 158,8480 BTC по состоянию на 17:00 по восточному времени (EDT) в субботу.

По данным исследователей Galaxy, первая волна оказалась самой масштабной: 30 июля за 41 минуту с 1 195 адресов было похищено 1 082,65 BTC. На следующий день в ходе второй операции с 1 478 адресов было похищено 76,16 BTC. Третья волна продлилась с 31 июля по 1 августа и привела к похищению примерно 208 BTC с 1 912 адресов.

Эта третья операция не выглядела как простое продолжение первых двух. В ходе первой и второй волн средства направлялись через небольшое количество адресов-сборщиков и адресов хранения. Волна 3, напротив, направляла средства жертв в 293 отдельных хранилища типа P2WSH — это тип биткоин-адресов, который может скрывать условия расходования средств до тех пор, пока монеты не будут перемещены.

Наличие отдельных хранилищ затрудняет внешним наблюдателям группировку средств. Galaxy пояснила, что это изменение может указывать на то, что первоначальный злоумышленник перестроил операцию после того, как первые сборы стали достоянием общественности, либо на то, что другая сторона обнаружила тот же уязвимый пул адресов. На основании одних только записей блокчейна невозможно определить, какое из объяснений верно.

Galaxy связала эту активность с уязвимой версией прошивки Coinkite Coldcard, выпущенной 17 марта 2021 года. Ни одна из затронутых монет не была создана до этого выпуска, а медианный адрес жертвы оставался неактивным около 3,5 лет, что соответствует поведению, ожидаемому от долгосрочного хранения в холодном кошельке.

Депозиты на биржах — второй сигнал

Пока исследователи анализировали предполагаемые кражи, централизованные криптовалютные биржи зафиксировали резкий рост депозитов в биткойнах 31 июля. Данные, предоставленные Сани (Sani) из Timechainindex.com, показали чистый приток на биржи в размере 11 163 BTC в течение дня.

River получила, по оценкам, 3 679 BTC, за ней следуют Binance с 3 224 BTC, Kraken с 2 848 BTC и OKX с 1 291 BTC. Централизованные биржи в совокупности получили 15 205 BTC с неустановленных адресов, что привело к резкому увеличению их заявленных запасов за один день.

Крупные притоки средств на биржи часто привлекают внимание, поскольку монеты, депонированные на торговых платформах, могут быть предназначены для продажи, использования в качестве залога или внутренних переводов между хранилищами. Данные не подтверждают, что депозиты 31 июля поступили от пользователей Coldcard, злоумышленников или кого-либо, непосредственно реагировавшего на инцидент.

Тем не менее, момент времени остаётся весьма примечательным. Паника, связанная с безопасностью, вполне может побудить держателей переорганизовать хранение, переместить монеты на биржи или отказаться от кошельков, которым они больше не доверяют. Это также может совпадать с несвязанными институциональными переводами, депозитами клиентов и бухгалтерским учётом бирж, что делает всплеск притока важным, но не дающим однозначных выводов.

Множество «спящих» биткоинов начинают двигаться

Третьим событием стало то, что, согласно статистике Bitcoin.com News, собранной с btcparser.com, большое количество адресов, созданных в период с 2010 по 2017 год, начало перемещать монеты после 9–16 лет бездействия. Объем видимых транзакций с 30 июля по 1 августа составил около 306 BTC, включая повторные переводы на суммы 10 BTC и 30 BTC.

Один адрес, созданный 2 июля 2010 года, осуществил старую транзакцию coinbase на сумму более 50 BTC. Среди прочих транзакций были перевод 37,8 BTC с адреса 2014 года и скоординированная серия переводов с трёх кошельков, созданных 29 июля 2017 года. Эти три кошелька перевели 37,5 BTC и две отдельные суммы по 30 BTC в одном блоке.

На основании имеющихся данных эту активность неактивных кошельков невозможно связать с операциями по сбору средств с Coldcard. Более того, Galaxy Research подробно указала, что монеты предполагаемых жертв были созданы после выпуска уязвимой прошивки в 2021 году, в то время как многие из недавно активировавшихся неактивных кошельков хранили биткоины за годы до появления Coldcard.

Однако, подобно биржевой активности, о которой сообщил Сани, владельцы биткоинов (BTC), долгое время находившихся в состоянии бездействия, могут пересмотреть свои настройки безопасности и перевести средства в альтернативные хранилища, включая услуги по хранению.

Насколько нам известно, Galaxy Research сообщила, что отслеживает семь адресов-хранилищ из первых двух волн и 293 хранилища из третьей. Первое расходование средств с этих хранилищ может раскрыть их скрипты и показать, используются ли одни и те же ключи подписи или структура расходов на нескольких адресах.

На момент публикации настроения в сети оставались крайне медвежьими: BTC торговался ниже отметки в 63 000 долларов — ровно по 62 326 долларов за монету.