Un atacante de Coldcard mueve 97 BTC (7,7 millones de dólares) hacia Ethereum

CoinDesk informa de que Galaxy Research detectó nueva actividad en cadena vinculada a la tercera oleada de fondos robados a usuarios de la cartera hardware Coldcard. Según los investigadores, el atacante ha transferido 97,09 BTC, valorados en unos 7,7 millones de dólares a precios del lunes, cerca del 45% de lo sustraído en esa tercera fase. Los movimientos se han producido por dos vías. El 2 de septiembre, el atacante envió primero unos 20,5 BTC desde la dirección del mayor "vault" y los canjeó por ether a través de THORChain. Ya durante el fin de semana, otro lote de fondos entró en una ronda de CoinJoin para dificultar la vinculación entre entradas y salidas. Galaxy Research cifra en 20,56 BTC el total de bitcoin que acabó llegando a Ethereum. Otros 57,24 BTC permanecen en una única dirección como "cambio" de CoinJoin, y los analistas perdieron el rastro de aproximadamente otros 19 BTC a lo largo de rutas posteriores. Durante esta tercera oleada, los atacantes habrían creado 293 direcciones tipo "vault" multifirma 2of2 para los fondos de las víctimas y las fueron procesando de mayor a menor saldo. Por ahora, 11 de esas direcciones ya se han vaciado. Las 10 siguientes concentran en conjunto 30,81 BTC, mientras que las 233 más pequeñas suman 33,77 BTC. Galaxy Research estima que alrededor del 82% de los bitcoins robados no se han movido desde que comenzó el incidente. El origen del problema se remonta al firmware de 2021. La investigación atribuye el robo a un fallo introducido por Coinkite en marzo de 2021, cuando la generación de la semilla pasó del chip de aleatoriedad por hardware del dispositivo a una alternativa por software. Ese cambio habría reducido la entropía de la clave de 128 bits hasta un mínimo aproximado de 40 bits. Esto permitiría a los atacantes reconstruir claves privadas sin conexión y vaciar fondos de direcciones de firma única sin necesidad de acceder físicamente al dispositivo. Coinkite ya actualizó el firmware, pero las semillas creadas con versiones antiguas no se corrigen solo con una actualización: los usuarios afectados deben generar nuevas semillas y transferir sus activos. Galaxy Research también señala una dirección de tesorería no reportada anteriormente, financiada por 58 direcciones. Aún no se ha confirmado su origen, pero la firma cree que podría incluir fondos de víctimas de Coldcard. De ser así, el total robado registrado públicamente por Galaxy Research aumentaría hasta unos 1.806 bitcoins, equivalentes a unos 143,9 millones de dólares al precio citado en el artículo. La firma ya había mencionado una posible cuarta oleada sin confirmar de 638,5 bitcoins; si se verifica, el alcance total del incidente superaría los 2.400 bitcoins.