Peretas Coldcard tarik 97 BTC senilai US$7,7 juta lewat transaksi di Ethereum

CoinDesk melaporkan, Galaxy Research mengungkap adanya aktivitas onchain terkait gelombang ketiga dana hasil pencurian dari hardware wallet Coldcard. Peneliti mencatat pelaku memindahkan 97,09 BTC, setara sekitar US$7,7 juta berdasarkan harga pada Senin, atau sekitar 45% dari total dana yang dicuri pada gelombang ketiga. Aliran dana bergerak ke dua arah. Pada 2 September, pelaku lebih dulu memindahkan sekitar 20,5 BTC dari alamat vault terbesar, lalu menukarnya menjadi Ethereum melalui THORChain. Menjelang akhir pekan, sebagian dana lain masuk ke putaran CoinJoin untuk mengaburkan keterkaitan antara input dan output transaksi. Galaxy Research menyebut jumlah akhir Bitcoin yang "mendarat" di Ethereum mencapai 20,56 BTC. Sebanyak 57,24 BTC masih berada di satu alamat sebagai CoinJoin change, sementara peneliti kehilangan jejak sekitar 19 BTC di jalur berikutnya. Peneliti menambahkan, pada gelombang ketiga serangan, pelaku membuat 293 alamat vault multisig 2of2 untuk menampung dana korban dan memprosesnya dari yang bernilai terbesar. Hingga kini, 11 alamat sudah dikosongkan. Sepuluh alamat berikutnya secara kolektif menyimpan 30,81 BTC, sedangkan 233 alamat yang lebih kecil totalnya 33,77 BTC. Sekitar 82% Bitcoin yang dicuri dilaporkan belum bergerak sepanjang insiden. Galaxy Research menilai akar masalahnya berasal dari firmware 2021. Pencurian ini ditelusuri ke cacat firmware yang diperkenalkan Coinkite pada Maret 2021, ketika proses pembuatan seed dipindahkan dari chip random number berbasis perangkat keras ke alternatif perangkat lunak. Perubahan tersebut menurunkan entropi kunci dari 128 bit menjadi serendah kira-kira 40 bit. Menurut peneliti, kondisi ini memungkinkan penyerang merekonstruksi private key secara offline dan menguras dana dari alamat singlesignature tanpa memerlukan akses ke perangkat fisik. Coinkite disebut telah memperbarui firmware. Meski begitu, seed yang dibuat pada versi lama tidak dapat dipulihkan hanya dengan upgrade; pengguna yang terdampak harus membuat seed baru dan memindahkan aset. Galaxy Research juga menyebut adanya alamat treasury yang sebelumnya belum dilaporkan, yang menerima pendanaan dari 58 alamat. Asal-usulnya belum terkonfirmasi, tetapi peneliti menduga alamat itu juga memuat dana korban Coldcard. Jika benar, total dana yang tercatat publik oleh Galaxy Research akan naik menjadi sekitar 1.806 BTC, setara kira-kira US$143,9 juta pada harga yang dikutip dalam artikel. Perusahaan itu sebelumnya juga menyinggung gelombang keempat yang belum terkonfirmasi sebesar 638,5 BTC; bila terverifikasi, skala total insiden akan melampaui 2.400 BTC.