Предполагаемая четвёртая волна атак, нацеленных на уязвимые биткоин-кошельки, сгенерированные с помощью Coldcard, возможно, уже идёт: блокчейн-исследователь Alex Thorn предупредил 3 августа, что почти 449 BTC были выведены с сотен адресов примерно за два с половиной часа.

Последняя активность, которая ещё продолжалась в момент публикации Thorn, следует за тремя более ранними волнами, которые исследователи связали с той же уязвимостью слабой энтропии, затрагивающей определённые версии прошивки Coldcard.

Новые выводы средств продолжаются

Thorn сообщил, что его последний анализ выявил 218 транзакций, затрагивающих 462 предполагаемых адреса жертв в диапазоне между биткоин-блоками 960778 и 969792. В этих транзакциях 388,93 BTC на сумму около 24,4 млн долларов по текущему курсу были перемещены на 216 адресов назначения, почти все из которых были только что созданы и не имели истории прошлых транзакций.

«Это, ВЕРОЯТНО, жертвы Coldcard — они соответствуют характеру уязвимых utxo Coldcard, а повышенная активность транзакций даёт мне высокую уверенность, что это ещё одна волна атаки», — написал он.

Аналитик подчеркнул, что у него пока нет прямого подтверждения от жертв, поэтому он намеренно, из осторожности, использовал слово «вероятно». Он также быстро скорректировал список адресов назначения, удалив шесть адресов, которые, по его словам, уже получали и тратили BTC задолго до того, как 30 июля начался инцидент с Coldcard. На эти шесть адресов приходилось чуть более 5 BTC от ранее рассчитанной суммы.

Кроме того, Thorn исключил из своего списка 89 мультиподписных адресов, поскольку ни один из них не фигурировал в первых трёх волнах, в результате чего основное ядро сократилось до 709 адресов и 448,73 BTC (28,1 млн долларов) с учётом как подтверждённых, так и ещё ожидающих транзакций.

Он призвал пользователей немедленно перевести свои средства с затронутых устройств Coldcard и использовать более высокие комиссии за транзакции, а также предупредил, что для части ожидающих транзакций была включена функция Replace-by-Fee, или RBF. Это означает, что жертвы, чьи транзакции всё ещё находятся в мемпуле, могут иметь очень короткий шанс перебить ставку злоумышленника и вернуть свои средства до подтверждения.

Средства из более ранних волн всё ещё не потрачены

По оценкам Galaxy Research, первые три подтверждённые волны опустошили 1367 BTC на сумму около 85,7 млн долларов с 4585 биткоин-адресов. По данным компании, эти средства не были потрачены и по-прежнему находятся в кошельках под контролем злоумышленников, что указывает скорее на скоординированную операцию, чем на случайную кражу.

Однако не все украденные BTC остались на месте. У одной из жертв, владевшей почти 30 BTC, 17 из них были проведены через ThorChain в онлайн-казино Duel, которое, по сообщениям, предложило жертве подать заявление в полицию, прежде чем оно сможет рассмотреть вопрос о заморозке.

Атака связана с уязвимостью, затрагивающей сид-фразы, сгенерированные на определённых версиях прошивки Coldcard, выпущенных после марта 2021 года. Coinkite, производитель кошелька Coldcard, подтвердил, что сид-фразы, созданные на затронутых устройствах Mk3, Mk4, Mk5 и Q, находятся под угрозой, и, хотя более новая исправленная прошивка устранила проблему для будущих сид-фраз, она не может защитить старые. Компания также заявила, что уничтожила все оставшиеся уязвимые запасы, приостановила поставки и сотрудничает с клиентами и правоохранительными органами в попытке установить виновных в краже.

Кроме того, компания посоветовала пользователям немедленно перейти на новую сид-фразу на незатронутом устройстве, а Thorn отметил, что каждый адрес Coldcard с одиночной подписью, сгенерированный в уязвимых условиях, в конечном итоге будет опустошён.

Источник: CryptoPotato