„White Hats“ porazili útočníkov z Coldcard a zachránili bitcoiny v hodnote miliónov dolárov

Útok na Coldcard vyzeral ako hotová katastrofa, keď sa toto leto začali z zraniteľných peňaženiek strácať bitcoiny. Útočníci zistili, že niektoré seed kódy Coldcardu je možné rekonštruovať offline, a zrazu sa začal závod o získanie ohrozených mincí. Thornovo vyšetrovanie však odhalilo v tomto príbehu zaujímavý zvrat.

Niektorí z ľudí, ktorí vyprázdňovali tieto peňaženky, vôbec neboli zlodeji. Boli to „white hat“ hackeri, ktorí sa snažili dostať k peniazom skôr ako zlodeji, a zdá sa, že aspoň 52,37 BTC tento závod prežilo.

Thorn zaznamenal 52,37 BTC smerujúcich do trustu

„COLDCARD WHITE HAT PRESÚVA PROSTRIEDKY DO TRUSTU,“ napísal Thorn v utorok, než podrobne opísal, čo zaznamenal v reťazci. Podľa výskumníka z Galaxy bolo „52,37 BTC pozostávajúce z mincí z Wave 2, Footprints AA, AU, AX“ konsolidované na novú adresu v bloku 967 948.

Transakcia dokonca obsahovala správu OP_RETURN s textom „claim:cryptorecoverytrust dot com“, čím v reťazci efektívne zanechala ukazovateľ vysvetľujúci, kam sa zachránené bitcoiny dostali. Thorn vypočítal, že tieto zachránené mince predstavujú „2,8 % z exploitu Coldcard“. Ešte dôležitejšie je, že jeho analýza mení obraz týkajúci sa Wave 2, jednej z viacerých skupín transakcií, ktoré výskumníci sledujú od začiatku odčerpávania prostriedkov.

„Teraz vieme, že približne 40 % skupiny Wave 2 tvorili v skutočnosti ‚white hats‘, ktorí presúvali mince s cieľom chrániť finančné prostriedky obetí,“ vysvetlil Thorn. Tieto mince, dodal, „boli zrejme doručené na adresu kontrolovanú spoločnosťou Crypto Recovery Trust“, trustom so sídlom vo Wyomingu, ktorý bol založený s cieľom pomôcť legitímnym ‚white hats‘ vrátiť obnovené aktíva späť obetiam.

Čísla sú čoraz podivnejšie

Tých 52,37 BTC – v hodnote viac ako 4,4 milióna dolárov v čase písania tohto článku – nemusí byť celkový úlovok. Thorn si všimol, že v rámci tej istej transakcie prišlo na adresu Crypto Recovery Trust ďalších 3,0134 BTC, ale pri ich započítavaní je zámerne opatrný.

„Tieto mince sme doteraz nevideli,“ napísal vo svojom vlákne na X a dodal, že ide „pravdepodobne“ o ďalšie prostriedky z Coldcardu, ktoré získali „bieli klobúkovia“, hoci jeho tím zatiaľ nemôže potvrdiť ich pôvod.

Táto opatrnosť je dôležitá, pretože Thorn sa snaží rekonštruovať útok, pri ktorom išlo o oveľa väčšiu sumu peňazí. Jeho prehľad o vlnách 1, 2 a 3 spolu s prostriedkami z trustu pokrýva 1 393 BTC, čo predstavuje 76,1 % zverejnenej celkovej sumy, ktorá bola v rámci útoku na Coldcard odcudzená. Samotná vlna 1 zostáva nedotknutá s 1 082,57 BTC. Vo vlne 3 zostalo nedotknutých 116,98 BTC, zatiaľ čo 97,09 BTC bolo zlúčených prostredníctvom coinjoin alebo presmerovaných cez Thorchain do Etherea, a následne útočníci použili Tornado Cash na zmiešanie etheru. Stopy AX, AA a AU sú naopak v súčasnosti považované za „100 % white-hatted“.

A čo zvyšok bitcoinov?

Záhada nie je úplne vyriešená. Thorn uviedol, že výskumníci stále nevedia, či zostávajúcich 60 % prostriedkov z vlny 2 získali škodliví útočníci alebo iná skupina „white hats“. Môže však povedať, že tieto dve časti zrejme súvisia s rôznymi aktérmi. Thorn tiež hovoril s jednotlivými obeťami Coldcardu, ktoré boli zastúpené v oboch častiach Wave 2, čím posilnil prepojenie medzi týmito transakciami a širším incidentom Coldcardu.

„Nevieme, či aj zvyšných 60 % prostriedkov získaných v rámci Wave 2 pochádza od ‚white hats‘,“ napísal Thorn. Uviedol, že bez ohľadu na to, či ide o „white hats“ alebo nie, so zostávajúcimi mincami sa zrejme zaoberal „iný operátor (alebo operátori)“ než skupina, ktorej bitcoiny nakoniec dorazili do Crypto Recovery Trust. Inými slovami, vyšetrovatelia teraz vedia vysvetliť veľkú časť toho, čo spočiatku vyzeralo ako ukradnuté bitcoiny, ale o ďalšej podstatnej časti sa dá len špekulovať.

Preukázanie skutočného vlastníctva bitcoinov

Získanie mincí vytvára ďalší problém: Ako môže trust určiť, kto ich skutočne vlastnil, keď obeť aj útočník môžu mať prístupové údaje umožňujúce prístup k peňaženke? Keď používateľ X položil túto otázku Thornovi, ten odpovedal, že existuje niekoľko dôkazov, ktoré by sa mohli skombinovať, namiesto toho, aby sa spoliehali na jeden definitívny test.

„Dá sa to urobiť niekoľkými spôsobmi,“ odpovedal Thorn a naznačil, že „viac dôkazov vytvára prevahu“. Medzi dôkazy, ktoré uviedol, patrili forenzné analýzy zariadení ukazujúce, kto ako prvý vytvoril seed, záznamy burzy v rámci procesu „poznaj svojho zákazníka“ (KYC) ukazujúce výbery na adresu, z ktorej boli neskôr prostriedky vyprázdnené, skutočnosť, že mu obete predtým poskytli rozšírený verejný kľúč xpub alebo zpub, a skorá správa FBI.

Crypto Recovery Trust tiež umožňuje obetiam Coldcard vyhľadávať svoje adresy, aby zistili, či sa ich bitcoiny nachádzajú medzi prostriedkami zachránenými „bielymi klobúkmi“.

Chyba v Coldcard, ktorá odštartovala tento závod

Za Thornovou detektívnou prácou stojí chyba firmvéru Coldcard, ktorá oslabila generovanie seedov peňaženiek, čo útočníkom umožnilo rekonštruovať seedy na diaľku. Od 30. júla tento exploit nakoniec postihol viac ako 8 600 adries a približne 1 779 BTC.

Najnovší objav spoločnosti Thorn prináša neočakávaný zvrat. „Bieli klobúci“ v podstate tiež objavili ohrozené bitcoiny, predbehli útočníkov a získali 52,37 BTC, ktoré presunuli do ochranného úschovu. Teraz je úlohou preukázať vlastníctvo a vrátiť bitcoiny oprávneným majiteľom.