Más de 1.000 bitcoin, valorados en aproximadamente $70 millones, fueron extraídos de 1.196 monederos en un período de 41 minutos el 30 de julio, casi el doble de la cantidad reportada cuando el robo se descubrió por primera vez.
Galaxy Research mapeó el evento completo en el viernes, encontrando 1.082,65 BTC transferidos entre las 01:10 y las 01:51 UTC en seis bloques, con tres bloques intermedios vacíos, lo que sugiere que las transacciones se emitieron en lotes en lugar de de forma continua.
Los fondos se encuentran en cuatro direcciones y no han sido movidos. Los informes iniciales capturaron solo una de esas direcciones, por eso la cifra ha aumentado.
El tamaño del ataque es mucho menor que algunos de los ataques más grandes de este año, pero el mecanismo es lo que lo hace inusual, y por eso el ataque es tan importante.
La mayoría de los robos de criptomonedas implican acceder a algo. Se compromete un exchange, se engaña un contrato o se roba una clave mediante phishing desde una laptop. La defensa siempre ha sido la distancia, precisamente lo que vende un monedero hardware. Mantén la clave en un dispositivo que nunca se conecte a internet y, teóricamente, no habrá nada que un atacante pueda tocar.
Cuando se crea un monedero, se supone que el dispositivo elige un número tan grande y tan impredecible que adivinarlo es imposible.
Ese número es la semilla, y cada dirección y clave privada se deriva de ella mediante reglas públicas fijas. El firmware de Coldcard estaba diseñado para obtener ese número de un generador de aleatoriedad de hardware dedicado. Una configuración interna de compilación le indicaba omitir ese generador, y una comprobación en una biblioteca auxiliar solo verificaba si la configuración existía, no si estaba activada.
La generación de claves recayó en un sustituto de software básico sembrado a partir del número de serie del chip y sus registros de reloj. Este número de serie es metadatos de fábrica fijos, y los valores de reloj son estado de temporización que un atacante puede reducir o medir en un dispositivo propio.
La consecuencia fue que el rango de claves que el dispositivo podría generar colapsó de inimaginablemente vasto a contable. Los equipos de seguridad descubrieron que la generación de claves podía determinarse en los modelos más antiguos Mk2 y Mk3 —números para diferentes modelos de Coldcard—, pero en el Mk4, Q y Mk5, estimaron el rango en aproximadamente cuatro mil millones de posibilidades.
Cuatro mil millones es un número grande para una persona, pero pequeño para una computadora. Un atacante genera semillas candidatas en su propio hardware, deriva las direcciones que producirían y verifica esas direcciones contra la cadena de bloques pública, que cualquiera puede descargar.
Cada paso de eso se ejecuta en la máquina del atacante. El dispositivo de la víctima no está involucrado en ningún momento y podría estar apagado en una caja fuerte en otro continente.
El desglose de Galaxy muestra que el proceso está en ejecución. De los monederos agotados, 1.183 utilizaron el formato de dirección segwit nativa moderna, siete utilizaron un formato más antiguo y seis uno aún más antiguo. Nadie ataca a una víctima específica en tres formatos de dirección al mismo tiempo.
Eso es una enumeración sistemática, verificando cada semilla candidata contra cada ruta que podría haber producido. El operador puede ampliar la búsqueda, refinirla y regresar cuando lo desee.
Galaxy advirtió que es probable que haya más olas si los propietarios no mueven sus fondos.
Tampoco un propietario puede determinar si está expuesto. No existe ninguna prueba que ejecutar en tu propio monedero que revele si tu semilla se encuentra dentro del rango reproducible.
Coinkite, el fabricante de Coldcard, ha advertido a los propietarios del Mk3 y dice que sus dispositivos más recientes no están afectados, mientras que el informe de Block también incluye al Mk2, Mk4, Q y Mk5. Hasta que se resuelva esto, cualquier persona que haya generado una semilla en el firmware afectado debe asumir lo peor en lugar de verificarla.
Sin embargo, el atacante cometió un error.
Block's Clay Garrett said on X que el operador utilizó una cuenta pagada en un “proveedor de datos de cadena de bloques bien conocido” para consultar las direcciones de origen durante los barridos, y que los registros internos del proveedor coincidieron con el flujo de trabajo sospechoso con una especificidad extraordinaria, hasta el número, el momento y la secuencia de las solicitudes.
1/ Durante nuestra investigación sobre el drenaje de Coldcard de ayer, identificamos un patrón inusual en los pases. Ese patrón nos llevó a una hipótesis que desde entonces se ha confirmado: el operador utilizó una cuenta pagada en un proveedor de servicios de cadena de bloques bien conocido para consultar la fuente… https://t.co/l5McyhhcNn
— Clay Garrett (@clay_garrett)El proveedor parece haber estado brindando servicios comunes a solicitudes que no indicaban su propósito. Block ha transmitido la información a las autoridades.
El almacenamiento en frío promete que una clave es impredecible. Todos lo interpretan como una promesa de que una clave es inaccesible, y el costo de encontrar y explotar fallos en el primer tipo sigue disminuyendo.
Anthropic publicó una investigación el martes que muestra cómo uno de sus modelos redujo a la mitad la seguridad de un algoritmo post-cuántico candidato en 60 horas, frente a un diseño que había resistido dos años de revisión por expertos.
Almacenar una clave de forma segura es ahora la mitad más fácil del problema.