Coldcard-hackaren fortsätter att flytta de stulna 30 BTC till en ny plånbok

Hackaren ligger lågt, men agerar sedan igen

För bara några timmar sedan dök hackaren bakom den största delen av stölden, som innehar 2 055 BTC till ett värde av ungefär 130 miljoner dollar, upp igen för att flytta 30,185 BTC, värda cirka 1,94 miljoner dollar, till en nyinrättad plånbok. Andra onchain-detektiver bekräftade överföringen med några minuters mellanrum och beskrev den som hackarens första aktivitet sedan den ursprungliga stölden.

Överföringen är liten i förhållande till hackarens totala innehav – den motsvarar ungefär 1,5 % av de stulna medlen – men den är betydelsefull eftersom den bryter ett mönster av inaktivitet som fått utredare och det bredare Bitcoin-samhället att bevaka en annars orörd hög med stulna mynt.

Bitcoin.com News rapporterade tidigare att stölden, som drabbade Coldcard Mk3-enheter med sårbar firmware, översteg 116 miljoner dollar i form av mer än 1 800 BTC som tömts från över 5 200 adresser, då ytterligare vågor av uttag upptäcktes under veckorna efter den första avslöjandet.

Vad överföringen potentiellt innebär

Onchain-analytiker betraktar vanligtvis en vilande hackares första förflyttning av stulna medel som ett tidigt tecken på ett försök till uttag, eftersom angripare normalt sett behöver flytta mynt genom en rad plånböcker, mixers eller kedjeöverbryggningar innan de försöker omvandla dem till andra tillgångar eller fiatvaluta utan att omedelbart väcka uppmärksamhet.

Situationen för Coldcard-hackaren kompliceras av hur noga de stulna medlen har övervakats, med tanke på att han tidigare mottog ett fräckt erbjudande från en annan part som föreslog att hjälpa till att tvätta pengarna direkt på kedjan – ett ovanligt offentligt erbjudande med tanke på hur mycket granskning de berörda plånböckerna har utsatts för från det bredare säkerhetssamhället.

Separat har on-chain-utredaren ZachXBT sagt att han inte har några planer på att personligen spåra de stulna medlen, utan överlåter det arbetet till andra forskare och den handfull blockkedjeanalytikerkonton som har hållit plånböckerna under noggrann bevakning sedan säkerhetsluckan först uppdagades.

En påminnelse om säkerhetsbristens omfattning

Den underliggande sårbarheten kan spåras tillbaka till en firmware-bug i Coldcard-enheter tillverkade av det Toronto-baserade företaget Coinkite, vilket ledde till att vissa enheter genererade seed-värden med endast en bråkdel av den avsedda kryptografiska slumpmässigheten. Detta gjorde att långsiktiga innehavare som skapade plånböcker på de drabbade firmwareversionerna utsattes för brute-force-attacker som kunde rekonstruera deras privata nycklar.

Bitcoin.com News har rapporterat att enbart kanadensiska användare stod för ungefär en fjärdedel av alla tillskrivbara förluster, en detalj som stämmer överens med att Coinkite har sin bas i Toronto och tyder på att de drabbade enheterna kan ha cirkulerat i större utsträckning på den marknaden.

Den förnyade aktiviteten från en av de största enskilda förmånstagarna av säkerhetsluckan kommer sannolikt att åter väcka uppmärksamhet kring en historia som hade börjat tystna i takt med att takten på nya uttagen avtog. För offer som fortfarande hoppas på en väg till återfående bevisar en hackares förflyttning av medel att mynten fortfarande existerar och kan spåras i en offentlig huvudbok, men det ökar också sannolikheten för att åtminstone en del av de stulna bitcoinen snart kommer att bli betydligt svårare att spåra.

Under de närmaste dagarna kommer experter sannolikt att noga bevaka mottagarplånboken för eventuella ytterligare rörelser, eftersom efterföljande överföringar ofta avslöjar om en hackare testar en tvättväg, konsoliderar medel inför en större förflyttning eller reagerar på yttre påtryckningar.