- Galaxy rastreó 1.082,65 BTC robados de 1.196 direcciones vinculadas a Coldcard.
- Patrones de transacción fijos vincularon el ataque de 41 minutos a un solo operador.
- Coinkite emitió actualizaciones de firmware de emergencia tras confirmar la falla.
Galaxy Research dijo que identificó 1.196 direcciones Bitcoin que fueron vaciadas de 1.082,65 BTC, valorados en aproximadamente $70,2 millones, durante un período de 41 minutos el 30 de julio. Según Galaxy Research, las transacciones ocurrieron entre las 01:10:20 UTC y las 01:51:26 UTC en seis bloques de Bitcoin antes de que Coinkite revelara públicamente una vulnerabilidad de firmware que afecta ciertos monederos hardware Coldcard. La empresa también dijo que no encontró transacciones adicionales coincidentes en los últimos 30 días.
Patrón en cadena vinculado a las transacciones
Según Galaxy Research, cada transacción pagó la misma tarifa de red de 30.0 sat/vB y no generó ningún resultado de cambio. Los investigadores dijeron que la tarifa fija distinguió la actividad de las consolidaciones normales de bitcoin y apuntó a un único operador automatizado.
El informe indicó que se agotaron 1.183 direcciones SegWit nativas, siete direcciones BIP-49 y seis direcciones BIP-44. Galaxy Research dijo que la distribución coincidió con el escaneo automatizado a través de múltiples rutas de derivación de monederos.
Los investigadores también descubrieron que las transacciones aparecían en lotes en lugar de de forma continua. Tres bloques intermedios no contuvieron actividad de barrido durante el período de 41 minutos. Mientras tanto, Galaxy Research indicó que cuatro direcciones de bitcoin recibieron los fondos robados. Añadió que esos fondos no se han movido desde la consolidación inicial.
Error de firmware provocó una respuesta de emergencia
Coinkite primero advirtió a los usuarios sobre un problema que afecta las semillas generadas en dispositivos Coldcard Mk3 con la versión de firmware 4.0.1 y posteriores. La empresa amplió posteriormente el aviso para incluir ciertas versiones de firmware de Mk4, Mk5 y Coldcard Q, mientras lanzaba actualizaciones de firmware de emergencia.
El CEO de Coinkite, Rodolfo Novak, asumió la responsabilidad por el error en el firmware y se disculpó con los usuarios. También dijo que el proceso de revisión de la empresa no detectó el problema antes del lanzamiento.
Novak sugirió además que la inteligencia artificial pudo haber ayudado a descubrir la vulnerabilidad. Dijo que la revisión de código asistida por IA puede identificar debilidades de software más rápido que las revisiones manuales tradicionales.
Los investigadores advierten que más ataques siguen siendo posibles
Galaxy Research dijo que futuros ataques siguen siendo posibles si los usuarios mantienen fondos en direcciones Coldcard de firma única afectadas. Sin embargo, la empresa enfatizó que futuros incidentes podrían no seguir el mismo patrón de transacciones en la cadena.
Según Galaxy Research, el patrón identificable solo vincula al atacante inicial. No detecta robos futuros porque esas transacciones podrían parecerse a transferencias legítimas de monedero.
La empresa instó a los usuarios a mover los fondos a servicios de custodia confiables custodial services o configuraciones de autoservicio con múltiples firmas. Coinkite también aconsejó a los usuarios instalar firmware actualizado, generar una nueva semilla, probar el monedero con una transferencia pequeña y conservar las copias de seguridad antiguas hasta que finalice la migración.