Хакер Coldcard возобновил перевод похищенных 30 BTC на новый кошелек

Хакер затих, а затем снова активизировался

Всего несколько часов назад хакер, на долю которого приходится наибольшая часть похищенных средств (2 055 BTC на сумму примерно 130 млн долларов), вновь активизировался и перевел 30,185 BTC на сумму около 1,94 млн долларов на вновь созданный кошелек. Другие исследователи блокчейна подтвердили этот перевод с интервалом в несколько минут, охарактеризовав его как первую активность хакера со времени первоначальной кражи.

Этот перевод является небольшим по сравнению с общим объемом активов хакера, составляя примерно 1,5% от похищенных средств, но он важен тем, что нарушает период бездействия, в течение которого следователи и более широкое биткойн-сообщество наблюдали за нетронутой кучей похищенных монет.

Ранее Bitcoin.com News сообщал, что сумма кражи, затронувшей устройства Coldcard Mk3 с уязвимой прошивкой, превысила 116 миллионов долларов в виде более 1 800 BTC, выведенных с более чем 5 200 адресов, поскольку в течение нескольких недель после первоначального раскрытия информации были обнаружены дополнительные волны вывода средств.

Что может означать этот перевод

Аналитики Onchain обычно рассматривают первое перемещение похищенных средств «спящим» хакером как ранний сигнал о попытке обналичивания, поскольку злоумышленникам, как правило, необходимо переместить монеты через ряд кошельков, миксеров или межсетевых мостов, прежде чем пытаться конвертировать их в другие активы или фиатную валюту, не привлекая при этом немедленного внимания.

Ситуация с хакером Coldcard осложняется тем, насколько пристально отслеживались похищенные средства, учитывая, что ранее он получил наглое предложение от другой стороны, предлагавшей помочь отмыть средства непосредственно в цепочке — необычное публичное предложение, учитывая, насколько пристально соответствующие кошельки находились под наблюдением широкого сообщества специалистов по безопасности.

Кроме того, исследователь блокчейна ЗакXBT заявил, что не планирует лично отслеживать похищенные средства, оставив эту работу другим исследователям и нескольким аккаунтам, занимающимся аналитикой блокчейна, которые внимательно следят за этими кошельками с момента, когда уязвимость впервые стала известна.

Напоминание о масштабах уязвимости

Лежащая в основе уязвимость связана с ошибкой в прошивке устройств Coldcard, производимых компанией Coinkite из Торонто, из-за которой некоторые устройства генерировали седы с криптографической случайностью, составляющей лишь часть от предполагаемой. В результате долгосрочные держатели, создавшие кошельки на уязвимых версиях прошивки, оказались уязвимы для атак методом перебора, позволяющих восстановить их закрытые ключи.

Bitcoin.com News сообщил, что только на долю канадских пользователей пришлось примерно четверть всех убытков, связанных с этой уязвимостью; эта деталь согласуется с тем, что сама компания Coinkite базируется в Торонто, и позволяет предположить, что затронутые устройства, возможно, были более широко распространены именно на этом рынке.

Возобновление активности со стороны одного из крупнейших бенефициаров этой уязвимости, вероятно, вновь привлечет внимание к этой истории, которая начала утихать по мере замедления темпов новых краж. Для жертв, все еще надеющихся на возможность возмещения убытков, перемещение средств хакером доказывает, что монеты по-прежнему существуют и остаются отслеживаемыми в публичном реестре, но также повышает вероятность того, что по крайней мере часть похищенных биткойнов вскоре станет гораздо сложнее отследить.

В ближайшие несколько дней эксперты, вероятно, будут внимательно следить за кошельком-получателем на предмет дальнейших движений, поскольку последующие переводы часто показывают, тестирует ли хакер маршрут отмывания средств, консолидирует ли он средства перед более крупной операцией или реагирует на какое-то давление извне.