Số vụ trộm Coldcard tăng vọt lên 88 triệu USD khi số tiền gửi vào sàn giao dịch tăng mạnh, các khoản BTC cũ được chuyển động

Đợt thứ ba làm gia tăng thiệt hại

Galaxy Research tiết lộ trên X rằng ba đợt tấn công nghi ngờ đã rút cạn khoảng 4.585 địa chỉ và chiếm đoạt số bitcoin trị giá khoảng 88,6 triệu USD tại thời điểm phân tích. Nhóm nghiên cứu cảnh báo rằng kết quả này chỉ là sơ bộ và hoàn toàn dựa trên dữ liệu blockchain Bitcoin công khai. Một bảng điều khiển khác có tên Coldcard Sweep Watch ước tính số Bitcoin bị đánh cắp là 1.158,8480 BTC vào lúc 5 giờ chiều theo giờ EDT ngày thứ Bảy.

Theo các nhà nghiên cứu của Galaxy, đợt tấn công đầu tiên là lớn nhất, đã đánh cắp 1.082,65 BTC từ 1.195 địa chỉ trong vòng 41 phút vào ngày 30 tháng 7. Đợt tấn công thứ hai đã thu được 76,16 BTC từ 1.478 địa chỉ vào ngày hôm sau. Đợt thứ ba kéo dài từ ngày 31 tháng 7 sang ngày 1 tháng 8 và đã rút cạn khoảng 208 BTC từ 1.912 địa chỉ.

Hoạt động thứ ba này không giống như một sự tiếp nối đơn thuần của hai đợt đầu tiên. Đợt 1 và 2 đã chuyển tiền qua một số lượng nhỏ các địa chỉ thu thập và lưu giữ. Ngược lại, đợt thứ ba đã chuyển tiền của các nạn nhân vào 293 kho P2WSH riêng biệt, một loại địa chỉ bitcoin có thể ẩn các điều kiện chi tiêu cho đến khi các đồng tiền được chuyển đi.

Việc chia nhỏ thành các kho riêng biệt khiến các bên quan sát bên ngoài khó có thể nhóm các khoản tiền lại với nhau. Galaxy giải thích rằng sự thay đổi này có thể cho thấy kẻ tấn công ban đầu đã tái cấu trúc hoạt động sau khi các đợt quét đầu tiên bị lộ, hoặc một bên khác đã phát hiện ra cùng một nhóm địa chỉ dễ bị tấn công. Chỉ dựa vào dữ liệu blockchain thì không thể xác định được giải thích nào là chính xác.

Galaxy đã liên kết hoạt động này với một bản phát hành firmware dễ bị tấn công của Coinkite Coldcard vào ngày 17 tháng 3 năm 2021. Không có đồng coin nào trong số các đồng coin bị ảnh hưởng được tạo ra trước bản phát hành đó, và địa chỉ trung bình của các nạn nhân đã không hoạt động trong khoảng 3,5 năm, phù hợp với hành vi dự kiến từ việc lưu trữ lạnh dài hạn.

Tiền gửi vào sàn giao dịch là tín hiệu thứ hai

Khi các nhà nghiên cứu lập bản đồ các vụ trộm nghi vấn, các sàn giao dịch tiền điện tử tập trung đã ghi nhận sự gia tăng đột biến về số lượng tiền gửi bitcoin vào ngày 31 tháng 7. Dữ liệu do Sani của Timechainindex.com chia sẻ cho thấy dòng tiền ròng vào các sàn giao dịch là 11.163 BTC trong ngày.

River nhận được khoảng 3.679 BTC, tiếp theo là Binance với 3.224 BTC, Kraken với 2.848 BTC và OKX với 1.291 BTC. Các sàn giao dịch tập trung đã cùng nhau nhận được 15.205 BTC từ các địa chỉ không xác định, khiến lượng nắm giữ được báo cáo của họ tăng vọt chỉ trong một ngày.

Dòng tiền đổ vào các sàn giao dịch lớn thường thu hút sự chú ý vì các đồng coin được gửi vào các nền tảng giao dịch có thể được chuẩn bị để bán, làm tài sản thế chấp hoặc chuyển giao trong nội bộ. Dữ liệu này không chứng minh rằng các khoản tiền gửi vào ngày 31 tháng 7 đến từ người dùng Coldcard, những kẻ tấn công hoặc bất kỳ ai phản ứng trực tiếp với sự cố này.

Thời điểm này vẫn khá đáng chú ý. Một sự cố an ninh chắc chắn có thể khiến các chủ sở hữu sắp xếp lại kho lưu trữ, chuyển tiền điện tử sang các sàn giao dịch hoặc từ bỏ các thiết lập ví mà họ không còn tin tưởng. Điều này cũng có thể trùng hợp với các giao dịch chuyển tiền của các tổ chức không liên quan, tiền gửi của khách hàng và công tác kế toán của sàn giao dịch, khiến đợt tăng đột biến này trở nên quan trọng nhưng chưa đủ để đưa ra kết luận.

Nhiều Bitcoin không hoạt động bắt đầu di chuyển

Một diễn biến thứ ba xuất hiện khi một lượng lớn địa chỉ được tạo ra từ năm 2010 đến 2017 bắt đầu di chuyển coin sau 9 đến 16 năm không hoạt động, theo thống kê mà Bitcoin.com News thu thập từ btcparser.com. Tổng giá trị các giao dịch có thể quan sát được từ ngày 30 tháng 7 đến ngày 1 tháng 8 là khoảng 306 BTC, bao gồm các lần chuyển khoản lặp lại với số lượng 10 BTC và 30 BTC.

Một địa chỉ được tạo vào ngày 2 tháng 7 năm 2010 đã chuyển một giao dịch coinbase cũ trị giá hơn 50 BTC. Các giao dịch khác bao gồm 37,8 BTC từ một địa chỉ năm 2014 và một chuỗi chuyển khoản phối hợp từ ba ví được tạo vào ngày 29 tháng 7 năm 2017. Ba ví này đã chuyển 37,5 BTC và hai khoản 30 BTC riêng biệt trong cùng một khối.

Dựa trên dữ liệu hiện có, hoạt động của các ví không hoạt động này không thể liên kết với các vụ quét ví Coldcard. Trên thực tế, Galaxy Research đã chỉ ra rằng các đồng coin của những nạn nhân nghi vấn đều được tạo ra sau khi phiên bản firmware dễ bị tấn công được phát hành vào năm 2021, trong khi nhiều ví không hoạt động mới được kích hoạt lại đã nắm giữ bitcoin từ nhiều năm trước khi Coldcard ra đời.

Tuy nhiên, tương tự như hoạt động giao dịch mà Sani đã báo cáo, những người nắm giữ bitcoin (BTC) đã không hoạt động trong thời gian dài có thể đang đặt câu hỏi về các thiết lập bảo mật của mình và chuyển tiền sang các giải pháp thay thế, bao gồm cả các dịch vụ lưu ký.

Theo những gì chúng ta biết, Galaxy Research tiết lộ rằng họ đang theo dõi bảy địa chỉ lưu trữ từ hai đợt đầu tiên và 293 kho tiền từ đợt thứ ba. Khoản chi tiêu đầu tiên từ các kho tiền đó có thể phơi bày các tập lệnh của chúng và tiết lộ liệu các khóa ký hoặc cấu trúc chi tiêu giống nhau có xuất hiện trên nhiều địa chỉ hay không.

Tại thời điểm viết bài, tâm lý thị trường trực tuyến vẫn rất bi quan, với BTC giao dịch dưới mức 63.000 USD, cụ thể là 62.326 USD mỗi đồng.