Сума викрадених з Coldcard коштів зросла до 88 млн доларів на тлі різкого збільшення депозитів на біржах та руху старих BTC

Третя хвиля збільшує масштаби збитків

Galaxy Research повідомила на X, що три ймовірні хвилі вивели кошти з приблизно 4 585 адрес і викрали біткойни на суму близько 88,6 млн доларів на момент проведення аналізу. Дослідницька група попередила, що її висновки є попередніми і ґрунтуються виключно на загальнодоступних даних блокчейну біткойна. Інша інформаційна панель під назвою Coldcard Sweep Watch оцінює обсяг викрадених коштів у 1 158,8480 BTC станом на 17:00 за східним літнім часом (EDT) у суботу.

За даними дослідників Galaxy, перша хвиля була найбільшою: 30 липня за 41 хвилину з 1 195 адрес було викрадено 1 082,65 BTC. Наступного дня під час другої операції з 1 478 адрес було викрадено 76,16 BTC. Третя хвиля тривала з 31 липня до 1 серпня і призвела до виведення приблизно 208 BTC з 1 912 адрес.

Ця третя операція не виглядала як просте продовження перших двох. Хвилі 1 і 2 направляли кошти через невелику кількість адрес-збирачів та адрес зберігання. Натомість під час третьої хвилі кошти жертв надсилалися до 293 окремих сховищ типу P2WSH — це тип біткойн-адреси, який дозволяє приховати умови витрачання коштів доти, доки монети не будуть переміщені.

Наявність окремих сховищ ускладнює зовнішнім спостерігачам об’єднання цих коштів в одну групу. Galaxy пояснила, що така зміна може свідчити про те, що первісний зловмисник перебудував операцію після того, як перші вилучення стали публічними, або що інша сторона виявила той самий вразливий пул адрес. Лише на основі записів у блокчейні неможливо визначити, яке з пояснень є правильним.

Galaxy пов’язала цю активність із вразливою версією прошивки Coinkite Coldcard, випущеною 17 березня 2021 року. Жодна з монет, що постраждали, не була створена до цього випуску, а медіанна адреса жертви залишалася неактивною протягом приблизно 3,5 років, що відповідає поведінці, очікуваній від довгострокового холодного зберігання.

Внески на біржі — другий сигнал

Поки дослідники відстежували ймовірні крадіжки, централізовані криптовалютні біржі 31 липня зафіксували різке зростання депозитів у біткойнах. Дані, надані Сані з Timechainindex.com, показали, що протягом дня чистий приплив коштів на біржі склав 11 163 BTC.

River отримала, за оцінками, 3 679 BTC, за нею йдуть Binance з 3 224 BTC, Kraken з 2 848 BTC та OKX з 1 291 BTC. Централізовані біржі загалом отримали 15 205 BTC з невідомих адрес, що дозволило їм за один день суттєво збільшити свої заявлені запаси.

Великі надходження на біржі часто привертають увагу, оскільки монети, внесені на торгові платформи, можуть бути призначені для продажу, використання як застава або для внутрішніх переказів між сховищами. Ці дані не підтверджують, що депозити 31 липня надійшли від користувачів Coldcard, зловмисників або будь-кого, хто безпосередньо реагував на інцидент.

Проте час, коли це сталося, все ж досить примітний. Паніка, пов’язана з безпекою, цілком може спонукати власників переорганізувати зберігання, перевести монети на біржі або відмовитися від гаманців, яким вони більше не довіряють. Це також може збігатися з не пов’язаними з інцидентом інституційними переказами, депозитами клієнтів та бухгалтерським обліком бірж, що робить цей сплеск припливу важливим, але не вирішальним.

Велика кількість «сплячих» біткойнів починає рухатися

Третя тенденція проявилася, коли велика кількість адрес, створених у період з 2010 по 2017 рік, почала переміщувати монети після 9–16 років бездіяльності, згідно зі статистикою, зібраною Bitcoin.com News з btcparser.com. Відомі транзакції з 30 липня по 1 серпня склали загалом близько 306 BTC, включаючи повторні перекази на суму 10 BTC та 30 BTC.

Одна адреса, створена 2 липня 2010 року, здійснила стару транзакцію coinbase на суму понад 50 BTC. Серед інших транзакцій — 37,8 BTC з адреси 2014 року та скоординована серія переказів із трьох гаманців, створених 29 липня 2017 року. Ці три гаманці переказали 37,5 BTC та дві окремі суми по 30 BTC в одному блоці.

На основі наявних даних цю неактивну діяльність неможливо пов’язати з операціями з вилучення коштів із Coldcard. Насправді, Galaxy Research детально зазначила, що монети ймовірних жертв були створені після випуску вразливого прошивання у 2021 році, тоді як багато з нещодавно активних неактивних гаманців містили біткойни ще задовго до появи Coldcard.

Однак, подібно до активності на біржах, про яку повідомляв Сані, власники біткойнів (BTC), що тривалий час перебували в неактивному стані, можуть переглянути свої налаштування безпеки та перевести кошти в альтернативні сховища, зокрема до кастодіальних сервісів.

Наскільки нам відомо, Galaxy Research повідомила, що відстежує сім адрес-сховищ з перших двох хвиль та 293 сховища з третьої. Перше використання коштів з цих сховищ може викрити їхні скрипти та виявити, чи використовуються однакові ключі підпису або структура витрат на кількох адресах.

На момент публікації настрої в мережі залишалися глибоко ведмежими, а BTC торгувався нижче 63 000 доларів — саме на рівні 62 326 доларів за монету.