Coldcard afectada por la supuesta cuarta ola de ataques mientras aumentan las pérdidas

El jefe de Galaxy Research, Alex Thorn, ha insinuado que Coldcard fue atacado por una cuarta ola el 3 de agosto, estimando que los atacantes movieron 448,7 BTC desde 709 monederos pertenecientes a víctimas.

Thorn basó sus hallazgos en el análisis de la cadena de bloques en lugar de registros de dispositivos, describiendo las direcciones como “posibles víctimas de Coldcard”.

Thorn describió las direcciones afectadas por el supuesto ataque como “posiblemente víctimas de Coldcard”, añadiendo que las salidas no gastadas y las transacciones coincidían con el patrón de monedero vulnerable. La instantánea inicial de Galaxy cubrió los bloques 960,778 a 960,792, identificando 218 transacciones que involucraban 388,9 BTC y 462 direcciones potenciales de víctimas. La estimación actualizada amplió las cifras a cientos de transacciones que involucran 448,7 BTC y 709 direcciones potenciales de víctimas.

Thorn publicó los hallazgos en X:

PROBABLE CUARTA OLA ORGANIZADA DE ATACAR COLDCARD OCURRIENDO AHORA MISMO; AÚN HAY TX SIMILARES EN EL MEMPOOL ESPERANDO SER CONFIRMADAS, Y LAS TX ANTERIORMENTE CONFIRMADAS SEÑALAN RBF OPT-IN, VERIFIQUE SUS FONDOS, Y POSIBLEMENTE PUEDA SALIR DE ESTO CON RBF.

Según Thorn, Galaxy midió 13,8 barridos por bloque, un aumento de 45 veces en comparación con los 0,3 barridos por bloque medidos durante un período de control previo al incidente. Los fondos sustraídos se enviaron a una nueva dirección en lugar de un monedero compartido. Algunos de los fondos robados se movieron posteriormente a nuevas direcciones, lo que los hace difíciles de rastrear.

Galaxy ya ha mapeado tres olas anteriores que desviaron 1.367,05 BTC desde 4.585 direcciones, con la primera ola dirigida a 1.082,05 BTC en 1.196 direcciones. La última ola eleva los totales a 1.815,75 BTC en 5.294 direcciones. Sin embargo, las cifras aún no han sido confirmadas por las autoridades, Coinkite ni los propietarios del monedero. Además, no está claro si una sola entidad fue responsable de las cuatro olas.

Thorn también añadió que había transacciones a la espera de aprobación en el mempool de Bitcoin, lo que brindaba a los titulares una vía de escape. Según Thorn, la documentación de Bitcoin Core establece que las transacciones opt-in de reemplazo por tarifa no confirmadas pueden ser reemplazadas. Esto significa que un usuario que aún tenga control sobre la clave afectada podría emitir una transacción conflictiva con una tarifa más alta y enviar los fondos a un monedero seguro. Sin embargo, una vez que la transacción ingresa al bloque, no puede ser reemplazada, y no se garantiza que el reemplazo tenga éxito.

El problema actual se debe a un error de integración del RNG que ocurrió durante un cambio de firmware en marzo de 2021. Coinkite estima que las semillas afectadas de Mk2 y Mk3 tienen alrededor de 40 bits de entropía efectiva, mientras que las semillas generadas en las versiones Mk4, Mk5 y Q afectadas tienen 72 bits en lugar de 128.

Además, un equipo de ingeniería de Block descubrió que el firmware llamaba a un fallback determinista de MicroPython en lugar del generador de números aleatorios de hardware. Sin embargo, el equipo de Block aclaró que no podían confirmar la explotabilidad sin pruebas empíricas completas.

Mientras tanto, Coinkite ha lanzado la versión 4.2.0 para Mk2 y Mk3, 5.6.0 para Mk4 y Mk5, 1.5.0Q para Q, y 6.6.0X o 6.6.0QX para las versiones Edge. Sin embargo, simplemente actualizar el firmware existente no aborda completamente la vulnerabilidad. Una vez actualizado, los usuarios deben generar una nueva semilla y verificar la dirección de recepción. Una vez verificada, deben enviar una transacción de prueba antes de migrar el saldo completo.

Coinkite también aclaró que las semillas creadas utilizando un mínimo de 50 lanzamientos de dados justos y privados no se consideran en riesgo, y que una frase de paso BIP-39 única podría servir como una segunda línea de defensa. Sin embargo, recomendó que los usuarios completen la migración. El aviso no cubre TAPSIGNER, OPENDIME y SATSCARD porque utilizan bases de código separadas.

Descargo de responsabilidad: Este artículo se proporciona únicamente con fines informativos. No se ofrece ni se pretende utilizar como asesoría legal, fiscal, de inversión, financiera u otra.

Este artículo se publicó originalmente como Coldcard Atacado por la Cuarta Ola de Ataques Sospechosa Mientras Aumentan las Pérdidas en Crypto Breaking News – tu fuente confiable para noticias de cripto, noticias de bitcoin y actualizaciones de cadena de bloques.