Une quatrième vague d'attaques ciblant des wallets Bitcoin générés par Coldcard vulnérables serait déjà en cours, selon Alex Thorn, chercheur en blockchain, qui a averti le 3 août qu'approximativement 449 BTC avaient été transférés depuis des centaines d'adresses en environ deux heures et demie.
La dernière activité, qui était encore en cours lorsque Thorn a posté, fait suite à trois vagues précédentes que les chercheurs ont reliées à la même vulnérabilité à faible entropie affectant certaines versions du firmware Coldcard.
Nouvelles opérations continuent
Thorn a déclaré que sa dernière analyse avait identifié 218 transactions affectant 462 adresses de victimes présumées entre les blocs Bitcoin 960778 et 969792. Ces transactions ont transféré 388,93 BTC, évalués à environ 24,4 millions de dollars au taux actuel, vers 216 adresses de destination, presque toutes nouvellement créées et sans historique de transactions antérieur.
« Ce sont probablement des victimes de Coldcard — elles correspondent à la forme des UTXO vulnérables à Coldcard, et le motif de transaction accru me donne une grande confiance qu’il s’agit d’une autre vague d’attaques », a-t-il écrit.
L'analyste a souligné qu'il n'avait pas encore de confirmation directe des victimes, c'est pourquoi il avait délibérément utilisé le terme « probable » par prudence. Il a également rapidement corrigé la liste des destinations, en supprimant six adresses, selon lui déjà actives et utilisées pour recevoir et dépenser du BTC bien avant le début de l'incident Coldcard le 30 juillet. Ces six adresses représentaient juste plus de 5 BTC du montant précédemment calculé.
De plus, Thorn a supprimé 89 adresses multisig de sa liste, car aucune n'avait apparu lors des trois premières vagues, réduisant le noyau restant à 709 adresses et 448,73 ($28,1 millions) répartis entre les transactions confirmées et celles encore en attente.
Il a exhorté les utilisateurs à déplacer immédiatement leurs fonds hors des appareils Coldcard affectés et à utiliser des frais de transaction plus élevés, et a également averti que certaines des transactions en attente avaient la fonction Replace-by-Fee (RBF) activée, ce qui signifie que les victimes dont les transactions étaient encore dans le mempool pourraient avoir une très brève opportunité de surclasser l'attaquant et de récupérer leurs fonds avant confirmation.
Les vagues antérieures sont toujours non dépensées
Galaxy Research a estimé que les trois premières vagues confirmées ont drainé 1 367 BTC, évalués à environ 85,7 millions de dollars, depuis 4 585 adresses bitcoin. Selon l'entreprise, ces fonds n'ont pas été dépensés et restent dans des wallets contrôlés par les attaquants, ce qui suggère une opération coordonnée plutôt qu'un vol opportuniste.
Cependant, tous les BTC volés n'ont pas été conservés. Une victime détenant près de 30 BTC en a vu 17 acheminés via ThorChain vers le casino en ligne Duel, qui aurait demandé à la victime de déposer une plainte à la police avant de pouvoir envisager un gel.
L'attaque provient d'une vulnérabilité affectant les seeds générés sur certaines versions du micrologiciel Coldcard publiées après mars 2021. Coinkite, le fabricant du wallet Coldcard, confirmed que les seeds créés sur les appareils Mk3, Mk4, Mk5 et Q concernés sont exposés, et bien qu'un micrologiciel corrigé plus récent ait résolu le problème pour les futures seeds, il ne peut pas sécuriser les anciennes. Il a également indiqué qu'il a détruit tout le stock restant vulnérable, arrêté les expéditions, et travaille avec les clients et les forces de l'ordre pour identifier les responsables du vol.
En outre, l'entreprise a conseillé aux utilisateurs de migrer immédiatement vers une nouvelle seed sur un appareil non affecté, Thorn soulignant que chaque adresse Coldcard à signature unique générée dans les conditions vulnérables sera finalement vidée.
L'article Coldcard Wallet Attacks Enter Fourth Wave, Putting 449 BTC at Risk est apparu en premier sur CryptoPotato.