Злоумышленник, стоящий за серией атак на аппаратные кошельки Coldcard, продолжает перемещать похищенные биткоины. По данным Galaxy Research, оператор третьей волны атаки уже вывел около 45% средств, украденных на этом этапе.
Исследователи оценивают объем недавно перемещенных средств примерно в 97,09 BTC, или около $7,8 млн. Для части операций злоумышленник использовал транзакции CoinJoin, которые усложняют анализ движения средств в блокчейне.
При этом большая часть украденных активов пока остается нетронутой. По оценке Galaxy, около 82% всех похищенных BTC по-прежнему находятся на первоначальных адресах, связанных с атакующим.
Злоумышленник постепенно перемещает крупнейшие балансы
Анализ транзакций показывает, что атакующий, вероятно, выводит средства не одновременно, а последовательно, начиная с наиболее крупных скомпрометированных хранилищ.
По данным Galaxy, средства из 11 крупнейших хранилищ уже были перемещены. Следующие 10 пока не затронутых хранилищ содержат в общей сложности около 30,81 BTC.
Еще одна группа небольших хранилищ, занимающих позиции с 61-й по 293-ю по объему, содержит примерно 33,77 BTC.
Такая структура операций может указывать на то, что злоумышленник пытается постепенно консолидировать либо скрывать происхождение средств, избегая одновременного перемещения всей похищенной суммы.
Часть BTC была проведена через CoinJoin
Ранее атакующий уже перемещал часть похищенных активов через различные криптовалютные сервисы. В частности, часть BTC была обменена на Ether через THORChain.
Позднее злоумышленник начал использовать CoinJoin — механизм объединения нескольких транзакций, который усложняет определение первоначального источника и конечного направления отдельных монет.
По оценке Galaxy, около 18% всех украденных средств уже покинули исходные адреса в рамках операций, которые исследователи связывают с попытками затруднить дальнейшее отслеживание активов.
Атаки связали с уязвимостью генерации seed-фраз Coldcard
Серия краж началась 30 июля. Исследователи связали инцидент с недостатком в прошивке отдельных устройств Coldcard, появившимся еще в 2021 году.
Проблема затрагивала процесс генерации seed-фраз на некоторых устройствах. Из-за недостаточной случайности отдельные комбинации могли оказаться значительно более предсказуемыми, чем предполагалось системой безопасности.
Это потенциально позволяло злоумышленникам восстанавливать данные, необходимые для получения доступа к уязвимым Bitcoin-кошелькам, без физического доступа к самому аппаратному устройству.
Инцидент стал еще одним напоминанием о том, что безопасность аппаратного кошелька зависит не только от хранения приватных ключей офлайн, но и от надежности алгоритмов, используемых при первоначальном создании криптографических данных.
Galaxy ранее насчитала около 1 779 украденных BTC
К середине августа Galaxy Research оценила объем похищенных средств примерно в 1 779 BTC.
По данным компании, атаки могли затронуть около 190 пользователей и более 8 600 Bitcoin-адресов.
Исследователи также допускали существование дополнительной волны атак, однако на тот момент не смогли окончательно подтвердить эту версию.
Новая группа адресов может увеличить потери до 1 806 BTC
В ходе последующего анализа Galaxy обнаружила ранее не идентифицированную группу из 58 адресов, средства с которых впоследствии были совместно потрачены злоумышленником.
Исследователи предполагают, что эти адреса могли принадлежать дополнительным жертвам той же атаки на Coldcard.
Если эта версия подтвердится, общий объем похищенных средств увеличится примерно до 1 806 BTC. При текущей оценке стоимости биткоина это соответствует примерно $143,9 млн.
При этом Galaxy подчеркивает, что итоговая цифра пока остается оценочной. Исследователи еще не подтвердили, что каждый из недавно обнаруженных адресов действительно был скомпрометирован именно через уязвимость Coldcard.
Большая часть похищенных биткоинов пока остается на исходных адресах
Несмотря на продолжающееся движение средств, значительная часть похищенных активов до сих пор не была перемещена.
По оценке Galaxy, около 82% украденных BTC остаются на первоначальных адресах атакующего. Это означает, что дальнейшая активность этих кошельков может дать аналитикам дополнительные данные о стратегии злоумышленника и возможных направлениях перемещения средств.
Инцидент с Coldcard уже стал одной из наиболее крупных атак последних месяцев, связанных с аппаратными Bitcoin-кошельками. Если оценка в 1 806 BTC подтвердится, общий ущерб может приблизиться к $143,9 млн, а расследование продолжит расширяться по мере обнаружения новых связанных адресов и транзакций.