Зловмисник, який стоїть за серією атак на апаратні гаманці Coldcard, продовжує переміщувати викрадені біткоїни. За даними Galaxy Research, оператор, відповідальний за третю хвилю атак, уже перевів близько 45% коштів, викрадених на цьому етапі.
Дослідники оцінюють обсяг нещодавно переміщених активів приблизно у 97,09 BTC, або близько $7,8 млн. Частина транзакцій проводилася через CoinJoin — механізм, який ускладнює відстеження руху коштів у блокчейні.
Водночас більша частина викрадених активів поки залишається недоторканою. За оцінкою Galaxy, близько 82% усіх викрадених BTC досі перебувають на початкових адресах, пов’язаних зі зловмисником.
Зловмисник поступово переміщує найбільші баланси
Аналіз транзакцій свідчить про те, що атакуючий не переміщує всі викрадені кошти одночасно, а діє послідовно, починаючи з найбільших скомпрометованих сховищ.
За даними Galaxy, кошти з 11 найбільших гаманців уже були переміщені. Наступні 10 недоторканих гаманців разом містять близько 30,81 BTC.
Ще одна група менших сховищ, які займають місця з 61-го по 293-тє за розміром балансу, містить приблизно 33,77 BTC.
Такий характер операцій може вказувати на те, що зловмисник намагається поступово консолідувати або приховувати походження викрадених активів, уникаючи одноразового переміщення всієї суми.
Частину BTC провели через CoinJoin
Раніше атакуючий уже переміщував частину викрадених активів через різні криптовалютні сервіси. Зокрема, частина BTC була обміняна на Ether через THORChain.
Пізніше зловмисник почав використовувати CoinJoin — механізм змішування транзакцій, який об’єднує кілька переказів і ускладнює визначення початкового джерела та кінцевого напрямку окремих монет.
За оцінкою Galaxy, близько 18% усіх викрадених коштів уже залишили початкові адреси в межах операцій, які дослідники пов’язують зі спробами ускладнити подальше відстеження активів.
Атаки пов’язали з уразливістю генерації seed-фраз Coldcard
Серія крадіжок почалася 30 липня. Дослідники пов’язали інцидент із недоліком у прошивці окремих пристроїв Coldcard, який з’явився ще у 2021 році.
Проблема впливала на процес генерації seed-фраз на деяких пристроях. Через недостатній рівень випадковості окремі комбінації могли бути значно більш передбачуваними, ніж передбачалося системою безпеки.
Це потенційно дозволяло зловмисникам відновлювати інформацію, необхідну для отримання доступу до вразливих Bitcoin-гаманців, без фізичного доступу до самого апаратного пристрою.
Інцидент підкреслює, що безпека апаратного гаманця залежить не лише від офлайн-зберігання приватних ключів, а й від надійності алгоритмів, які використовуються під час початкового створення криптографічних даних.
Galaxy раніше нарахувала близько 1 779 викрадених BTC
До середини серпня Galaxy Research оцінювала обсяг викрадених коштів приблизно у 1 779 BTC.
За даними компанії, атаки могли зачепити близько 190 користувачів і понад 8 600 Bitcoin-адрес.
Дослідники також припускали можливість існування додаткової хвилі атак, хоча на той момент ця версія не була остаточно підтверджена.
Нова група адрес може збільшити збитки до 1 806 BTC
Під час подальшого аналізу Galaxy виявила раніше не ідентифіковану групу з 58 адрес, кошти з яких пізніше були спільно витрачені зловмисником.
Дослідники вважають, що ці адреси могли належати додатковим жертвам тієї ж атаки на Coldcard.
Якщо це припущення підтвердиться, загальний обсяг викрадених активів може зрости приблизно до 1 806 BTC. За поточною оцінкою вартості біткоїна це відповідає близько $143,9 млн.
Водночас Galaxy підкреслює, що оновлена цифра поки залишається оціночною. Дослідники ще не підтвердили, що кожна з нововиявлених адрес була скомпрометована саме через уразливість Coldcard.
Більша частина викрадених біткоїнів досі залишається на початкових адресах
Попри триваюче переміщення коштів, значна частина викрадених активів досі не була переведена.
За оцінкою Galaxy, близько 82% викрадених BTC залишаються на початкових адресах атакуючого. Це означає, що подальша активність цих гаманців може надати аналітикам додаткову інформацію про стратегію зловмисника та можливі маршрути переміщення коштів.
Інцидент із Coldcard уже став однією з найбільших останніх атак, пов’язаних з апаратними Bitcoin-гаманцями. Якщо оцінка у 1 806 BTC підтвердиться, загальні збитки можуть наблизитися до $143,9 млн, а розслідування продовжуватиме розширюватися в міру виявлення нових пов’язаних адрес і транзакцій.