Ninakaw ng umaatake gamit ang Coldcard ang $30M sa loob ng 10 minuto sa pamamagitan ng pag-target sa malalaking wallet

Inuna ng Umaatake ang mga Coldcard Wallet na may Pinakamalalaking Balanse

Inihayag ng blockchain analytics firm na Chainalysis noong Hulyo 31 na maagang tinarget ng umaatake ang mga Coldcard hardware wallet na mataas ang halaga, na mabilis na nagpalaki sa kabuuang halagang ninakaw. Natuklasan ng kompanya na tatlo sa 10 pinakamalalaking apektadong wallet ay may hawak na hindi bababa sa 10 BTC, na nagkakahalaga ng tinatayang $636,000 sa panahon ng pagsusuri.

Isang biktima ang nawalan ng humigit-kumulang $1.8 milyon, habang ang pinagsamang halagang nakuha ay umakyat patungo sa $30 milyon sa unang 10 minuto ng operasyon. Iminungkahi ng pagkakaayos na sinuri ng umaatake ang populasyon ng mga available na wallet bago simulan ang sistematikong pagwawalis.

Iniulat ng Chainalysis:

“Iminumungkahi ng pattern na ito na pinag-aralan ng umaatake ang populasyon ng wallet ng mga biktima bago magpatuloy.”

Sa loob ng humigit-kumulang 25 minuto, na-drain ng umaatake ang 500 magkakaibang wallet, na nagdulot ng matalim na pagtaas sa halagang ninakaw bago lumawak sa mas maliliit na balanse. Ginamit ng Chainalysis ang Reactor investigation platform nito upang suriin ang daloy ng pondo, mga address ng biktima, at konsentrasyon sa pinakamalalaking pagkalugi.

Ipinapahiwatig ng pagkakasunod-sunod ang sinadyang pagsisikap na i-maximize ang mga kikitain sa simula sa halip na iproseso ang mga wallet nang random o sundan ang orihinal na pagkakasunod ng pagbuo ng mga ito. Ang pag-una sa mas malalaking balanse ay nagbawas din ng panganib na ang mga babala, kontrol ng mga palitan, o depensibong paglilipat ay makalilimita sa pinakamahalagang oportunidad ng umaatake.

Na-trace ang Bayad na Account sa Serbisyong Blockchain Habang Isinasagawa ang mga Wawalis

Nagsimula ang imbestigasyon ng Block sa mga pag-drain ng Coldcard wallet matapos makatanggap ang bitcoin engineering at security teams ng kompanya ng mga ulat na ang mga wallet sa labas ng Bitkey platform ng kompanya ay dini-drain. Inilarawan ni Bitkey Engineering Lead Clay Garrett ang isang hindi pangkaraniwang pattern ng mga request na tumulong sa mga imbestigador na matukoy ang pinaghihinalaang operational workflow.

Natukoy ng mga imbestigador na gumamit ang operator ng isang bayad na account sa isang kilalang provider ng blockchain-services upang mag-query ng mga source address at magsagawa ng kaugnay na aktibidad. Ayon sa ulat, tumugma ang mga internal record ng provider sa pinaghihinalaang bilang, oras, at pagkakasunod ng mga request sa inilalarawan ni Garrett bilang pambihirang espesipisidad.

Sinabi ni Garrett:

“Nagbibigay ang provider ng mga pamantayan nitong serbisyo bilang tugon sa mga request na hindi nagbunyag ng mas malawak na layunin ng mga iyon.”

Walang nakitang ebidensya ang Block na ang hindi pinangalanang provider ay sinasadyang lumahok sa pinaghihinalaang pagnanakaw o sadyang tumulong sa operator para maisagawa ito. Direktang nakipag-ugnayan ang kompanya sa provider at nagsimulang magbahagi ng kaugnay na impormasyon sa mga naaangkop na awtoridad habang nililimitahan ang mga pagbubunyag na maaaring makasagabal sa imbestigasyon.

Tinukoy ng Coinkite Advisory ang Apektadong Coldcard Firmware

Habang sinusubaybayan ng mga imbestigador ang mga ninakaw na pondo, inulit ng Coinkite kung aling mga device ang apektado ng pinakapundasyong kahinaan. Ang Coldcard Mk3 security advisory ng kompanya ay sumaklaw sa mga device na bumuo ng mga seed sa mga firmware version 4.0.1 hanggang 5.0.3. Ipinahiwatig ng mga paunang natuklasan na hindi apektado ang mga modelong Mk4, Q, at Mk5, habang iniugnay ng mga ulat ang humigit-kumulang 594 BTC, na nagkakahalaga ng halos $38 milyon, sa humigit-kumulang 500 dormant na wallet na na-walis sa loob ng humigit-kumulang 25 minuto.

Marami sa mga apektadong address ay nanatiling hindi aktibo sa loob ng maraming taon at karaniwang may hawak na balanse mula 0.15 BTC hanggang 0.26 BTC. Inirekomenda ng Coinkite ang paglikha ng kapalit na seed sa isang hindi apektadong device, pagpapadala ng maliit na test transaction, pagkumpirma ng receiving address sa screen ng hardware, at pag-iingat sa naunang backup hanggang maging matagumpay ang migration.

Nananatiling Nakalantad ang mga Marupok na Seed Matapos ang mga Firmware Update

Ang mga may-ari ng Coldcard na bumuo ng mga seed gamit ang marupok na firmware ay humaharap sa mga panganib na hindi malulutas sa pag-install lamang ng pinakabagong hotfix. Pinayuhan ng Chainalysis ang mga apektadong user na lumikha ng ganap na bagong seed sa patched na hardware bago ilipat ang kanilang bitcoin mula sa mga apektadong wallet.

Inirekomenda rin ng kompanya ang paggamit ng isang malakas na BIP-39 passphrase para sa karagdagang proteksyon. Patuloy na mino-monitor ng Chainalysis ang exploiter wallet, isang consolidation address, at mga ulat ng posibleng nagpapatuloy na mga pag-atake laban sa mga address na pinaghihinalaang nagmula sa marurupok na private key. Sinabi ng Block na maglalabas ito ng karagdagang mga natuklasan kapag hindi na nanganganib na makagambala ito sa imbestigasyon.