Coldcard-hacker får ett fräckt erbjudande om penningtvätt av bitcoin på blockkedjan

De nya händelserna inträffar bara några dagar efter att Coinkite avslöjade att en länge oupptäckt brist i firmware hade gjort det möjligt för angripare att återställa svagt genererade plånboksfrön och systematiskt tömma sårbara plånböcker med enkel signatur. Det uppskattade totala beloppet har nu stigit till ungefär 1 359,8820 BTC, enligt statistik som samlats in av Coldcard Sweep Watch-dashboardet, där de flesta av de identifierade mynten fortfarande finns kvar på ett fåtal adresser som kontrolleras av angriparen.

OP_RETURN förvandlar Bitcoin-blockkedjan till en offentlig anslagstavla

Den 1 augusti mottog en av angriparens förvaringsadresser en ovanlig transaktion som innehöll ett OP_RETURN-meddelande. OP_RETURN är en speciell utgång i en Bitcoin-transaktion som lagrar permanent text på blockkedjan istället för att överföra medel som kan användas.

Meddelandet annonserade öppet tjänster för att ”rena” bitcoin, tillhandahålla hjälp med kundkännedom (KYC) och ta ut de stulna mynten i utbyte mot en avgift på 10 %, tillsammans med en Telegram-kontakt. Det var inte ett tekniskt meddelande eller en vädjan till offret. I stället verkade det vara en direkt uppmaning riktad till den som kontrollerar de stulna bitcoinen. Vissa föreslår att det kan vara brottsbekämpande myndigheter eller någon som lägger en fälla.

Attacken lämnar de flesta stulna bitcoins synliga för alla

Även om stölden omfattade mer än 1 300 BTC har blockchain-forskare observerat att en stor del av bitcoinen i stort sett förblir orörd. Angriparen samlade medlen till ett relativt litet antal adresser efter att ha tömt sårbara plånböcker under flera samordnade vågor med start den 30 juli.

Denna synlighet har blivit en av de mer ovanliga aspekterna av fallet. Bitcoins transparenta huvudbok gör det möjligt för vem som helst att övervaka adresser med höga värden, vilket innebär att offer, utredare, forskare och till och med opportunister alla kan följa samma transaktioner i realtid. OP_RETURN-meddelanden visar att blockkedjan också kan fungera som ett permanent offentligt meddelandesystem vid större incidenter.

Flera projekt som har blivit hackade tidigare använder OP_RETURN-meddelanden för att diskutera belöningar och krav med hackare.

Nöduppdatering av firmware skapar nya problem

När användarna skyndade sig att säkra sina återstående medel uppstod ett annat problem.

Coinkite släppte akuta firmwareuppdateringar avsedda att eliminera den svaga slumptalsgenereringen som orsakade den ursprungliga sårbarheten. Företaget klargjorde att den nya firmwaren endast skyddar plånböcker som skapas i framtiden och inte åtgärdar seed-värden som redan genererats i sårbara versioner.

Strax efter lanseringen började användare rapportera att vissa enheter fastnade på felskärmar, inte kunde starta eller verkade helt förstörda efter installationen av uppdateringen. Rapporterna har främst gällt Mk4- och Q-enheter, även om vissa Mk3-användare också har beskrivit liknande problem. Den 2 augusti hade Coinkite ännu inte offentligt bekräftat någon omfattande firmwarefel, men flera användarrapporter har väckt växande oro i hela Bitcoin-gemenskapen.

Säkerhetsexperter uppmanar användare att flytta medel först

Ett av de starkaste budskapen som cirkulerar bland erfarna förespråkare för bitcoinsäkerhet är att ägare av potentiellt sårbara plånböcker bör flytta sina medel innan de uppdaterar firmware, när det är möjligt.

Den rekommendationen speglar en viktig begränsning hos nödkorrigeringen. Att uppdatera programvaran kan inte stärka en svag seed som redan skapades för flera år sedan. Om den ursprungliga plånboken genererades med otillräcklig slumpmässighet är den enda varaktiga lösningen att flytta medel till en helt ny plånbok som skapats med stark entropi.

För många användare har verifierade säkerhetskopior av seed-frasen blivit skillnaden mellan ett hårdvarufel och permanent förlust, eftersom en skadad enhet ofta kan bytas ut medan återställningsfrasen återställer åtkomsten till medlen.

Förtroendet står inför sitt hittills största test

Den pågående Coldcard-incidenten har utvecklats från en enskild firmwarefel till ett bredare test av förtroendet för hårdvaruplånböckernas säkerhet. Kombinationen av ett historiskt entropifel, en offentlig uppmaning till penningtvätt inbäddad direkt i Bitcoins blockkedja och rapporter om att nöduppdateringar kan göra vissa enheter obrukbara har intensifierat debatten om plånbokens utformning, generering av seed-fraser och långsiktiga rutiner för egen förvaring.

Samtidigt som övervakningen av de kända angriparadresserna fortsätter följer användarna nu två utvecklingar lika noga: om de stulna bitcoinen så småningom flyttas och om Coinkite utfärdar ytterligare riktlinjer för kunder som drabbats av firmwarefel.