Coldcardのハードウェアウォレットを狙った一連の攻撃に関与する攻撃者が、盗まれたBitcoinの移動を続けています。Galaxy Researchによると、第3波の攻撃を担当したとみられる人物は、この段階で盗まれた資金の約45%をすでに移動させています。
研究者らは、最近移動された資産を約97.09 BTC、金額にして約780万ドルと推定しています。一部の取引では、ブロックチェーン上の資金移動を追跡しにくくするための仕組みであるCoinJoinが使用されました。
一方で、盗まれた資産の大半はまだ動いていません。Galaxyは、盗難されたBTC全体の約82%が、依然として攻撃者と関連する元のアドレスに残っていると推定しています。
攻撃者は大きな残高から順に資金を移動
トランザクション分析によると、攻撃者は盗んだ資金を一度に移すのではなく、残高の大きい侵害済みウォレットから順番に処理している可能性があります。
Galaxyによれば、最大規模の11ウォレットからの資金はすでに移動されています。次に大きい未移動の10ウォレットには、合計で約30.81 BTCが残っています。
さらに、残高規模で61位から293位に位置する小規模なウォレット群には、合計約33.77 BTCが保有されています。
この動きは、攻撃者が盗まれた資金を徐々に統合したり、その出所を分かりにくくしたりしながら、全額を一度に移動することを避けている可能性を示しています。
一部のBTCはCoinJoinを通じて移動
攻撃者は以前にも、複数の暗号資産サービスを利用して盗んだ資金の一部を移動していました。特に、一部のBTCはTHORChainを通じてEtherに交換されていました。
その後、攻撃者はCoinJoinの利用を開始しました。CoinJoinは複数の取引をまとめることで、個々のコインの元の出所や最終的な移動先を判別しにくくする仕組みです。
Galaxyは、盗難資金全体の約18%がすでに元のアドレスから移動しており、研究者らはこれらの取引を追跡を困難にする試みと関連付けています。
攻撃はColdcardのseed生成の脆弱性と関連
一連の盗難は7月30日に始まりました。研究者らは、この事件を一部のColdcard端末に存在していたファームウェア上の問題と関連付けています。この問題は2021年に導入されたとされています。
問題は、一部端末におけるseedフレーズ生成プロセスに影響していました。ランダム性が不十分だったため、一部の組み合わせが本来想定されていたよりも大幅に予測しやすくなっていた可能性があります。
これにより攻撃者は、ハードウェアウォレットそのものへ物理的にアクセスすることなく、脆弱なBitcoinウォレットにアクセスするために必要な情報を再構築できた可能性があります。
今回の事件は、ハードウェアウォレットの安全性が、秘密鍵をオフラインで保管することだけでなく、暗号学的データを最初に生成するアルゴリズムの信頼性にも依存していることを示しています。
Galaxyは以前、約1,779 BTCの盗難を確認
8月中旬までに、Galaxy Researchは盗まれたBitcoinの総量を約1,779 BTCと推定していました。
同社によると、攻撃の影響を受けた可能性があるのは約190人のユーザーと、8,600以上のBitcoinアドレスです。
研究者らは追加の攻撃波が存在する可能性にも言及していましたが、その時点では最終的な確認には至っていませんでした。
新たなアドレス群により被害額が1,806 BTCへ拡大する可能性
その後の分析でGalaxyは、これまで特定されていなかった58のアドレスからなるグループを発見しました。これらの資金は後に攻撃者によってまとめて使用されていました。
研究者らは、これらのアドレスも同じColdcard攻撃による追加の被害者に属していた可能性があるとみています。
この見方が確認されれば、盗難総額は約1,806 BTCまで増加する可能性があります。現在のBitcoin価格で換算すると、約1億4,390万ドルに相当します。
ただしGalaxyは、更新後の数字も依然として推定値であると強調しています。新たに特定されたすべてのアドレスが、実際にColdcardの脆弱性によって侵害されたことはまだ確認されていません。
盗まれたBitcoinの大半は依然として元のアドレスに残る
資金移動が続いているにもかかわらず、盗難資産のかなりの部分はまだ移されていません。
Galaxyは、盗まれたBTCの約82%が依然として攻撃者の元のアドレスに残っていると推定しています。そのため、今後これらのウォレットから資金が動けば、攻撃者の戦略や資金移動ルートについて追加情報が得られる可能性があります。
Coldcard事件はすでに、Bitcoinハードウェアウォレットに関連する近年最大級の攻撃の一つとなっています。1,806 BTCという推定値が確認されれば、総被害額は1億4,390万ドル近くに達する可能性があり、関連する新たなアドレスや取引が特定されるにつれて調査はさらに拡大する見通しです。