การโจรกรรม Coldcard พุ่งแตะ 88 ล้านดอลลาร์ เมื่อยอดฝากเข้าเว็บเทรดพุ่งสูง ขณะที่ BTC เก่าเริ่มเคลื่อนไหว

ระลอกที่สามขยายความเสียหาย

Galaxy Research เปิดเผยบน X ว่าทั้งสามระลอกที่ต้องสงสัยได้ดูดเงินออกจากราว 4,585 แอดเดรส และยึดครองบิตคอยน์ซึ่งมีมูลค่าประมาณ 88.6 ล้านดอลลาร์ ณ เวลาที่ทำการวิเคราะห์ กลุ่มวิจัยเตือนว่าข้อค้นพบยังเป็นเบื้องต้น และอิงทั้งหมดจากข้อมูลบนบล็อกเชน Bitcoin ที่เปิดเผยต่อสาธารณะ แดชบอร์ดอีกตัวที่ชื่อ Coldcard Sweep Watch ประเมินยอดการขโมยไว้ที่ 1,158.8480 BTC ณ เวลา 17.00 น. EDT ของวันเสาร์

ตามรายงานของนักวิจัย Galaxy ระลอกแรกมีขนาดใหญ่ที่สุด โดยกวาด 1,082.65 BTC จาก 1,195 แอดเดรส ภายใน 41 นาที ในวันที่ 30 กรกฎาคม ปฏิบัติการระลอกที่สองเก็บได้ 76.16 BTC จาก 1,478 แอดเดรสในวันถัดมา ส่วนระลอกที่สามกินเวลาตั้งแต่ 31 กรกฎาคมถึง 1 สิงหาคม และดูดออกไปราว 208 BTC จาก 1,912 แอดเดรส

ปฏิบัติการระลอกที่สามนั้นไม่ได้ดูเหมือนเป็นการดำเนินต่ออย่างง่ายๆ จากสองระลอกแรก ระลอกที่ 1 และ 2 ทำการส่งเงินผ่านแอดเดรสสำหรับรวบรวมและพักเหรียญจำนวนไม่มาก แต่ระลอกที่ 3 กลับส่งเงินของเหยื่อเข้าไปยัง “คลัง” (vault) แบบ P2WSH แยกกัน 293 แห่ง ซึ่งเป็นประเภทของแอดเดรสบิตคอยน์ที่สามารถซ่อนเงื่อนไขการใช้จ่ายไว้ได้จนกว่าเหรียญจะถูกย้ายออก

การมีคลังแยกกันทำให้ผู้สังเกตการณ์ภายนอกจัดกลุ่มเงินเหล่านี้เข้าด้วยกันได้ยากขึ้น Galaxy อธิบายว่าการเปลี่ยนแปลงนี้อาจบ่งชี้ว่าผู้โจมตีเดิมปรับโครงสร้างปฏิบัติการใหม่หลังจากการกวาดครั้งแรกกลายเป็นข่าว หรืออาจเป็นอีกฝ่ายหนึ่งที่ค้นพบกลุ่มแอดเดรสที่เปราะบางเดียวกัน บันทึกบนบล็อกเชนเพียงอย่างเดียวไม่สามารถยืนยันได้ว่าคำอธิบายใดถูกต้อง

Galaxy เชื่อมโยงกิจกรรมดังกล่าวเข้ากับ เฟิร์มแวร์ Coinkite Coldcard เวอร์ชันที่มีช่องโหว่ ซึ่งถูกส่งมอบเมื่อวันที่ 17 มีนาคม 2021 โดยเหรียญที่ได้รับผลกระทบทั้งหมดไม่มีเหรียญใดถูกสร้างก่อนการปล่อยเวอร์ชันนั้น และแอดเดรสของเหยื่อโดยค่ามัธยฐานไม่มีกิจกรรมมาราว 3.5 ปี ซึ่งสอดคล้องกับพฤติกรรมที่คาดจากการเก็บแบบ cold storage ระยะยาว

การฝากเข้าเว็บเทรดเพิ่มสัญญาณที่สอง

ขณะที่นักวิจัยทำแผนที่การขโมยที่ต้องสงสัย เว็บเทรดคริปโตแบบรวมศูนย์บันทึกการเพิ่มขึ้นอย่างชัดเจนของการฝากบิตคอยน์ในวันที่ 31 กรกฎาคม ข้อมูลที่ Sani จาก Timechainindex.com แชร์ แสดงยอดไหลเข้าเว็บเทรดสุทธิ 11,163 BTC ภายในวันนั้น

River รับเข้าประมาณ 3,679 BTC ตามด้วย Binance 3,224 BTC, Kraken 2,848 BTC และ OKX 1,291 BTC หน่วยงานแบบรวมศูนย์โดยรวมรับ 15,205 BTC จากแอดเดรสที่ไม่สามารถระบุได้ ส่งผลให้ยอดถือครองที่รายงานเพิ่มขึ้นอย่างมากภายในวันเดียว

กระแสไหลเข้าเว็บเทรดขนาดใหญ่มักดึงความสนใจ เพราะเหรียญที่ฝากเข้าแพลตฟอร์มเทรดอาจถูกเตรียมไว้เพื่อขาย ใช้เป็นหลักประกัน หรือโอนย้ายภายในระบบรับฝากดูแล (custody) อย่างไรก็ดี ข้อมูลนี้ไม่ได้ยืนยันว่าการฝากในวันที่ 31 กรกฎาคมมาจากผู้ใช้ Coldcard ผู้โจมตี หรือผู้ใดที่ตอบสนองต่อเหตุการณ์นี้โดยตรง

อย่างไรก็ตาม ช่วงเวลานั้นก็ยังน่าสังเกตอยู่มาก ความตื่นตระหนกด้านความปลอดภัยสามารถกระตุ้นให้ผู้ถือเหรียญ จัดระเบียบที่เก็บใหม่ ย้ายเหรียญไปยังเว็บเทรด หรือเลิกใช้การตั้งค่าวอลเล็ตที่ไม่ไว้วางใจอีกต่อไป ทั้งนี้เหตุการณ์อาจเกิดพร้อมกับการโอนย้ายของสถาบันที่ไม่เกี่ยวข้อง การฝากของลูกค้า และการทำบัญชีภายในของเว็บเทรด ทำให้สไปก์ของยอดไหลเข้ามีความสำคัญแต่ยังสรุปชัดเจนไม่ได้

บิตคอยน์ที่หลับใหลจำนวนมากเริ่มเคลื่อนไหว

พัฒนาการที่สามเกิดขึ้นเมื่อแอดเดรสจำนวนมากที่ถูกสร้างระหว่างปี 2010 ถึง 2017 เริ่มย้ายเหรียญหลังจากไม่มีความเคลื่อนไหวเป็นเวลา 9 ถึง 16 ปี ตามสถิติที่ Bitcoin.com News รวบรวมจาก btcparser.com ธุรกรรมที่เห็นได้ตั้งแต่ 30 กรกฎาคมถึง 1 สิงหาคมรวมประมาณ 306 BTC รวมถึงการโอนซ้ำๆ ครั้งละ 10 BTC และ 30 BTC

มีแอดเดรสหนึ่งที่สร้างเมื่อ 2 กรกฎาคม 2010 ย้ายธุรกรรม coinbase เก่ามากกว่า 50 BTC ธุรกรรมอื่นๆ รวมถึง 37.8 BTC จากแอดเดรสปี 2014 และกลุ่มการโอนที่ประสานกันจากวอลเล็ตสามใบที่สร้างในวันที่ 29 กรกฎาคม 2017 โดยวอลเล็ตทั้งสามใบนั้นย้าย 37.5 BTC และอีกสองยอด 30 BTC แยกกันภายในบล็อกเดียวกัน

จากข้อมูลที่มีอยู่ ไม่สามารถเชื่อมโยงความเคลื่อนไหวของวอลเล็ตที่เงียบมานานกับการกวาด Coldcard ได้ อันที่จริง Galaxy Research ระบุว่าเหรียญของเหยื่อที่ต้องสงสัยทั้งหมดถูกสร้างหลังจากมีการปล่อยเฟิร์มแวร์ที่มีช่องโหว่ในปี 2021 ขณะที่วอลเล็ตเงียบมานานจำนวนมากที่เพิ่ง กลับมาเคลื่อนไหว ถือครองบิตคอยน์มาหลายปีก่อนที่ Coldcard จะมีอยู่ด้วยซ้ำ

อย่างไรก็ตาม คล้ายกับกิจกรรมในเว็บเทรดที่ Sani รายงาน ผู้ถือ บิตคอยน์ (BTC) ที่เก็บเงียบมานานอาจกำลังตั้งคำถามกับการตั้งค่าความปลอดภัยของตน และย้ายเงินไปยังทางเลือกอื่น รวมถึงบริการรับฝากดูแล

ในส่วนของสิ่งที่เราทราบแน่ๆ Galaxy Research เปิดเผยว่ากำลังเฝ้าดูแอดเดรสพักเหรียญ 7 แอดเดรสจากสองระลอกแรก และคลัง 293 แห่งจากระลอกที่สาม การใช้จ่ายครั้งแรกจากคลังเหล่านั้นอาจเปิดเผยสคริปต์ของมัน และทำให้เห็นว่ามีคีย์สำหรับเซ็นชื่อเดียวกันหรือโครงสร้างการใช้จ่ายแบบเดียวกันปรากฏในหลายแอดเดรสหรือไม่

ณ เวลาที่เผยแพร่ กระแสความเห็นออนไลน์ยังคงเป็นขาลงอย่างหนัก โดย BTC ซื้อขายต่ำกว่า 63,000 ดอลลาร์ ที่ระดับ 62,326 ดอลลาร์ต่อเหรียญอย่างพอดี