Потери от эксплойта Coldcard достигли примерно $88,6 млн

Что произошло

Galaxy Research сообщила о третьей волне краж из Bitcoin-кошельков Coldcard. В этой волне, по данным фирмы, было выведено 207,73 BTC, а общий наблюдаемый объем потерь вырос примерно до 1 367 BTC, или около $88,6 млн, на 4 585 адресах.

Компания назвала эксплойт продолжающимся и призвала всех, у кого есть single-signature средства на Coldcard, немедленно перевести их с адресов, сгенерированных Coldcard.

Детали расследования

Galaxy Research заявила, что отметила около 600 предполагаемых адресов атакующих и передала их федеральным следователям, комплаенс-компаниям и межотраслевым киберрасследователям. Фирма также отметила вклад пострадавших, которые делились деталями транзакций и помогли сопоставить ончейн-паттерны.

Глава исследований Galaxy Alex Thorn написал в X, что продолжает расследование и добавляет новые адреса жертв Coldcard и атакующих в базу расследования.

Возможная причина уязвимости

Decrypt ранее сообщал, что проблема связана с ошибкой сборки прошивки устройств Coinkite от марта 2021 года. Из-за нее seed-фразы генерировались со слишком низкой случайностью, что делало приватные ключи угадываемыми.

Thorn написал, что выводы средств выглядят намеренными и программными, возможно организованными с помощью большой языковой модели. Он также предупредил, что каждый single-signature адрес Coldcard, созданный после обновления 2021 года, со временем может быть опустошен.

Что известно о похищенных средствах

Thorn отметил, что похищенные монеты годами оставались без движения до вывода: средний срок бездействия составил 3,18 года. По его словам, это указывает на то, что среди пострадавших были долгосрочные держатели.

Средства из трех задокументированных волн, согласно сообщению, остаются на адресах атакующих и не перемещались.

Реакция пользователей

Ситуация вызвала резкую реакцию среди затронутых пользователей, а специалисты по безопасности призвали проявлять осторожность при переводе средств на новые адреса.

Часть пострадавших пользователей переводит Bitcoin из самостоятельного хранения обратно на централизованные криптобиржи, включая Coinbase и Binance, или на заново созданные адреса.

Канадский тренер Jonathan Goodman написал в X, что 18,25 BTC стоимостью около $1,6 млн в канадских долларах были выведены из его кошельков за семь минут 29 июля, хотя ключи хранились на устройстве ColdCard в банковской ячейке и никогда не подключались к интернету. Он добавил, что подает заявления в полицию и Ontario Securities Commission.