Хакер, связанный со взломом Coldcard, вывел 97 BTC на $7,7 млн через транзакцию в сети Ethereum

По данным CoinDesk, аналитики Galaxy Research зафиксировали новую ончейн-активность, связанную с третьей волной похищенных средств из аппаратных кошельков Coldcard. По оценке исследователей, злоумышленник перевел 97,09 BTC — около $7,7 млн по цене на понедельник. Это примерно 45% объема, украденного в рамках третьей волны. Перемещения шли по двум направлениям. 2 сентября атакующий вывел около 20,5 BTC с крупнейшего адреса-хранилища и обменял их на Ethereum через THORChain. К выходным еще одна партия средств прошла через CoinJoin, чтобы скрыть связь между входами и выходами транзакций. В Galaxy Research уточнили, что итоговый объем биткоинов, дошедших до Ethereum, составил 20,56 BTC. Еще 57,24 BTC остаются на одном адресе как "сдача" после CoinJoin, а примерно 19 BTC аналитики потеряли из виду на последующих маршрутах. Всего в ходе третьей волны, по данным исследователей, были созданы 293 мультисиг-хранилища формата 2-of-2 для средств жертв, которые затем обрабатывались в порядке убывания размера. На данный момент опустошены 11 таких адресов. Следующие 10 адресов суммарно содержат 30,81 BTC. Оставшиеся 233 более мелких адреса — еще 33,77 BTC. При этом около 82% похищенных биткоинов за все время инцидента оставались без движения. Уязвимость уходит корнями в прошивку 2021 года. По версии Galaxy Research, кража связана с дефектом прошивки, внедренным Coinkite в марте 2021 года: генерация seed-фразы была перенесена с аппаратного чипа случайных чисел на программный механизм, из-за чего энтропия ключей снизилась со 128 бит до примерно 40 бит. Это, как отмечают исследователи, позволяет атакующим офлайн восстанавливать приватные ключи и выводить средства с одно-подписных адресов без доступа к самому устройству. Coinkite выпустила обновления, но seed-фразы, созданные в старых версиях, не "лечатся" одним апдейтом — пользователям необходимо сгенерировать новые seed'ы и перевести активы. Galaxy Research также указала на ранее не упоминавшийся "казначейский" адрес, пополненный с 58 адресов. Его происхождение пока не подтверждено, но аналитики допускают, что там тоже могут находиться средства жертв Coldcard. Если предположение верно, публично зафиксированный Galaxy Research общий объем похищенного вырастет примерно до 1 806 BTC, или около $143,9 млн по цене, указанной в материале. Ранее компания упоминала неподтвержденную четвертую волну на 638,5 BTC; в случае подтверждения общий масштаб инцидента превысит 2 400 BTC.