Эксплойт COLDCARD: 1"159 BTC остаются на кошельках, 64 BTC отправлены в миксер

Крупный взлом, связанный с уязвимостью COLDCARD, продолжается в блокчейне. Крупнейший из известных злоумышленников по-прежнему удерживает 1"159 BTC на семи адресах, а другой участник начал прогонять меньшие суммы через миксер, оставляя расследованию дополнительный след. Что видно в блокчейне По данным мониторинга Galaxy Research, самая крупная кража — 1"159 BTC — была зачислена на семь адресов примерно за 41 минуту. С тех пор эти балансы не двигались. Переводов с этих адресов на биржи, миксеры или типичные сервисы обналичивания пока не зафиксировано. Формально средства не "заморожены": протокол Bitcoin не может остановить транзакции только из-за того, что адрес помечен. Но попытка вывести монеты в фиат или через регулируемые сервисы с высокой вероятностью активирует AML/KYC-проверки. Правоохранители, биржи и аналитические компании отметили около 600 адресов, связанных с более широкой кражей, что повышает риск того, что любой депозит на комплаенс-платформу привлечёт внимание. Новая активность через миксер Отдельно аналитики отследили поток 64 BTC в транзакцию, связанную с миксером. Около 10 BTC было перемешано сразу, ещё примерно 54 BTC вернулись сдачей и были разделены на выходы примерно по 7 BTC для дальнейшего микширования. Миксеры пытаются скрыть происхождение средств, объединяя и перестраивая транзакции, но анонимность не гарантируют. В данном случае относительно крупные и однотипные выходы упрощают отслеживание схемы, поэтому исследователи могут продолжать мониторинг последующих "прыжков". Несколько атакующих и разные кластеры Активность с миксером, судя по всему, не связана с семиадресным кластером, где лежат 1"159 BTC. Ранее сообщалось, что уязвимость генерации seed-фразы в COLDCARD могли использовать сразу несколько злоумышленников, поэтому действия одного кластера нельзя автоматически приписывать тому же актору. Galaxy Research ранее подтверждала кражу около 1"596 BTC в трёх волнах атак с примерно 7"300 адресов и выявила 14 меньших связанных инцидентов. Предполагаемая четвёртая волна может увеличить общий объём почти до 2"055 BTC, хотя эта добавка пока не полностью подтверждена заявлениями пострадавших. Как работал эксплойт и последствия Проблема возникла из-за ошибки в прошивке, которая ослабляла случайность при генерации seed-фраз. Атакующие могли офлайн воспроизводить наборы кандидатных seed, выводить из них адреса и сопоставлять с активными адресами в блокчейне — без доступа к устройству, PIN-кодов и без компрометации протокольного уровня. Coinkite выпустила исправленную прошивку, но обновление устройства не исправляет seed, созданный в уязвимой версии. Пострадавшим пользователям необходимо сгенерировать новый seed и перевести средства на адреса, производные от него. Перспективы расследования и возврата Galaxy передала подтверждённые адреса атакующих и жертв правоохранительным органам США, биржам и группам киберрасследований. Расширенный список адресов повышает вероятность выявления попыток провести монеты через регулируемую инфраструктуру. При этом перспективы возврата остаются неопределёнными. Злоумышленники могут прогонять средства через множество адресов, миксеры, децентрализованные площадки или юрисдикции вне досягаемости США, прежде чем пытаться вывести их. Итог Крупнейший из известных участников, связанных с инцидентом COLDCARD, удерживает 1"159 BTC, которые не перемещались с момента первоначального перевода, оставаясь под постоянным публичным наблюдением. Параллельно свежая активность через миксер со стороны другого актора сформировала отслеживаемый след, за которым расследователи будут внимательно следить по мере развития ситуации.