كشفت Galaxy Research أن أموال المسربة من الجولة الثالثة من محفظة Coldcard الصلبة شهدت مؤخرًا حركة جديدة على السلسلة. وذكر الباحثون أن المهاجمين نقلوا 97.09 بتكوين، ما يعادل حوالي 7.7 مليون دولار أمريكي وفقًا لسعر الاثنين، وهو ما يمثل حوالي 45% من الأموال المستولى عليها في الجولة الثالثة.
يتم نقل الأموال عبر طريقين
في 2 سبتمبر، نقل المهاجمون أولاً حوالي 20.5 بيتكوين من أكبر عنوان خزنة، ثم حوّلوها إلى إيثريوم عبر THORChain. وفي عطلة نهاية الأسبوع، دخلت مجموعة أخرى من الأموال في جولة CoinJoin لخلط العلاقة بين المدخلات والمخرجات في المعاملات.
أشارت Galaxy Research إلى أن المبلغ النهائي الذي وصل إلى إيثريوم كان 20.56 بيتكوين. ولا يزال هناك 57.24 بيتكوين معلقًا في عنوان واحد على شكل تغيير CoinJoin، وانقطعت متابعة الباحثين لحوالي 19 بيتكوين إضافية على المسار اللاحق.
293 عنوانًا تُعالج حسب الحجم
يقول الباحثون إنه في الموجة الثالثة من الهجمات، أنشأ المهاجمون 293 عنوانًا لصناديق متعددة التوقيع 2/2 لأموال الضحايا، وعالجوا هذه العناوين تدريجيًا حسب الحجم من الأكبر إلى الأصغر. حتى الآن، تم تفريغ 11 من هذه العناوين.
- العناوين العشرة التالية تمتلك مجتمعة 30.81 بيتكوين
- تُحوز 233 عنوانًا أصغر آخر ما مجموعه 33.77 بيتكوين
- ما زال حوالي 82% من البيتكوين المسروقة خلال الحدث غير متحركة
الثغرة تعود إلى برنامج ثابت عام 2021
يعود هذا الحادث السرقة إلى عيب في البرنامج الثابت أُدخله Coinkite في مارس 2021. وقد نقل هذا العيب عملية توليد البذور من شريحة عشوائية مادية في الجهاز إلى بديل برمجي، مما أدى إلى انخفاض قوة إنتروبي المفتاح من 128 بت إلى حوالي 40 بت كحد أدنى.
يقول الباحثون إن هذا يسمح للمهاجمين بإعادة بناء المفتاح الخاص بشكل غير متصل بالإنترنت وتفريغ الأموال من العناوين ذات التوقيع الواحد دون الحاجة إلى الوصول إلى الجهاز المادي. وقد قام Coinkite حاليًا بتحديث البرنامج الثابت، لكن البذور التي تم إنشاؤها بالإصدارات القديمة لا يمكن إصلاحها مباشرة من خلال الترقية، ولا يزال على المستخدمين ذوي الصلة إنشاء بذور جديدة ونقل أصولهم.
قد يستمر الحجم الإجمالي في التصحيح الصعودي
ذكرت Galaxy Research أيضًا عن عنوان خزنة غير معلن سابقًا، تم تمويله من قبل 58 عنوانًا. لم تؤكد الباحثون بعد سبب هذا العنوان، لكنها تعتقد أنه قد يكون أيضًا من أموال ضحايا Coldcard.
إذا كان هذا التقدير صحيحًا، فسيرتفع المجموع الكلي للعملات المسروقة التي نشرتها Galaxy Research إلى حوالي 1806 بيتكوين، ما يعادل حوالي 143.9 مليون دولار أمريكي وفقًا للسعر المذكور في النص. كما ذكرت المؤسسة سابقًا وجود موجة رابعة من الأموال غير المؤكدة بحجم 638.5 بيتكوين، وإذا تأكدت، فسيتجاوز إجمالي الحدث 2400 بيتكوين.