Експлойт COLDCARD із seed-фразами: 1"159 BTC залишаються на гаманцях, 64 BTC пройшли через міксер

Експлойт COLDCARD, пов'язаний із вразливістю генерації seed-фраз, і далі розгортається в мережі Bitcoin. Найбільший відомий зловмисник, асоційований із цією проблемою, зберігає 1"159 BTC на семи адресах. Окремий учасник почав пропускати менші суми через міксер, створивши для слідчих нову траєкторію для відстеження. Дані ончейн-моніторингу Galaxy Research свідчать: найбільша відома партія викрадених коштів — 1"159 BTC — була "змітена" на сім адрес приблизно за 41 хвилину, після чого ці баланси не рухалися. Переказів із цих адрес на біржі, у міксери або на типові сервіси виведення коштів не зафіксовано. Технічно монети не заблоковані — протокол Bitcoin не може зупинити транзакції лише тому, що адресу позначили як підозрілу. Водночас спроба вивести ці кошти у фіат або через регульовані сервіси з високою ймовірністю активує AML/KYC-контроль. Правоохоронці, біржі та аналітичні компанії позначили близько 600 адрес, пов'язаних із ширшим епізодом крадіжки. Це підвищує ризик того, що будь-який депозит на комплаєнс-орієнтовану платформу приверне увагу. Окремо аналітики відстежили потік 64 BTC до транзакції, пов'язаної з міксером. Приблизно 10 BTC було змішано одразу, ще близько 54 BTC повернулися як решта та були розбиті на виходи приблизно по 7 BTC для подальшого змішування. Міксери намагаються приховувати походження коштів шляхом повторного комбінування та переформатування транзакцій, але анонімність вони не гарантують. У цьому випадку відносно великі та уніфіковані виходи полегшують відстеження схеми відмивання, тож слідчі можуть надалі моніторити ці "хопи". Активність із міксером, за оцінкою аналітиків, не пов'язана із кластером семи адрес, що утримує 1"159 BTC. Попередні повідомлення вказували, що одну й ту саму ваду генерації seed у COLDCARD могли використати кілька зловмисників, тому рух коштів в одному кластері не слід автоматично приписувати тому самому актору. Раніше Galaxy Research підтвердила викрадення близько 1"596 BTC у трьох хвилях атак із приблизно 7"300 адрес та ідентифікувала 14 менших пов'язаних інцидентів. Ймовірна четверта хвиля може підняти сумарні втрати майже до 2"055 BTC, хоча цей додаток ще не повністю підтверджено звітами постраждалих. За описом, першопричиною стала помилка прошивки, яка послаблювала випадковість під час генерації seed-фраз. Це дозволяло зловмисникам відтворювати кандидатні seed офлайн, виводити з них адреси та зіставляти з активними адресами ончейн — без доступу до пристрою, PIN-кодів і без будь-якого компрометації протоколу. Coinkite випустила виправлену прошивку, але оновлення пристрою не робить безпечною seed, створену у вразливій версії. Постраждалим користувачам потрібно згенерувати нову seed-фразу та перевести кошти на адреси, похідні від неї. Galaxy передала підтверджені адреси нападників і жертв правоохоронцям США, біржам і групам кіберрозслідувань. Ширший список адрес підвищує шанси виявляти спроби провести монети через регульовану інфраструктуру. Водночас перспективи повернення коштів залишаються невизначеними: зловмисники можуть проганяти кошти через численні адреси, міксери, децентралізовані платформи або юрисдикції поза досяжністю США, перш ніж спробувати конвертацію. Підсумок: найбільший відомий зловмисник у справі COLDCARD наразі тримає 1"159 BTC без руху після початкового "змітання", що залишає ці монети під постійним публічним наглядом. Паралельно нова активність із міксером з боку іншого актору сформувала відстежуваний слід, за яким слідчі уважно спостерігатимуть у міру розвитку подій.