Penyerang Coldcard Memindahkan 45% Bitcoin Gelombang 3 Melalui CoinJoin

Ringkasan

• Penyerang Coldcard memindahkan 97,09 BTC melalui CoinJoin, yang mewakili 45% aset yang dicuri selama gelombang ketiga yang teridentifikasi dalam kampanye tersebut.
• Kerentanan firmware tahun 2021 melemahkan keacakan seed dompet, memungkinkan penyerang melakukan brute-force terhadap frasa pribadi dan mengekstraksi dana dari dompet Bitcoin single-signature secara jarak jauh.
• Galaxy terhubung dengan 1.806 BTC senilai $143,9 juta ke eksploitasi, sementara 82% tetap berada di alamat yang dikendalikan oleh penyerang asli di bawah pemantauan blockchain.

Penyerang di balik eksploitasi dompet perangkat keras Coldcard telah memindahkan 45% bitcoin yang dicuri selama gelombang serangan ketiga. Menurut Galaxy Research, operator Gelombang 3 mentransfer 97,09 bitcoin (BTC), senilai sekitar $7,8 juta.

Pelaku memproses aset-aset tersebut melalui transaksi CoinJoin, sehingga pergerakan dana curian menjadi lebih sulit dilacak. CoinJoin menggabungkan beberapa pembayaran Bitcoin dalam satu transaksi, mengurangi visibilitas kaitan antara pengirim dan penerima.

Namun, analisis Galaxy menunjukkan bahwa penyerang mengikuti urutan yang terhitung saat memilih dompet yang dikompromikan. Operator telah menargetkan vault yang terdampak berdasarkan saldo mereka, dimulai dari dompet yang memiliki jumlah terbesar.

Vault yang berada di peringkat satu hingga sebelas sudah mencatat pergerakan yang terkait dengan operasi pencucian uang. Sementara itu, sepuluh vault tak tersentuh berikutnya berisi total 30,81 BTC, berdasarkan temuan Galaxy.

Sebuah kelompok lain dari vault kecil, peringkat antara 61 dan 293, secara kolektif memegang 33,77 BTC. Pola transfer ini memberikan petunjuk kemungkinan kepada penyelidik mengenai dompet mana yang telah dikompromikan dan menjadi sasaran penyerang.

Sebelum menggunakan CoinJoin, pelaku mengonversi bitcoin (BTC) yang dicuri menjadi ethereum (ETH) melalui THORChain pada 2 September. THORChain memungkinkan pengguna untuk menukar aset di berbagai blockchain tanpa bergantung pada bursa mata uang kripto terpusat.

Konversi tersebut menandai upaya lain untuk memisahkan aset yang dicuri dari alamat Coldcard aslinya. Galaxy melaporkan bahwa 82% dari seluruh dana yang dicuri masih tetap berada di dalam dompet asli penyerang. Akibatnya, hanya 18% yang telah berpindah melalui transaksi yang tampak terkait dengan kegiatan pencucian aset atau konversi aset.

Juga Baca: Prediksi Harga PYTH 2026–2030: Bisakah Pyth Network Mencapai $0,20 Segera?

Pencurian Coldcard dimulai pada 30 Juli dan berasal dari kelemahan firmware yang dikirim Coinkite pada 2021. Kerentanan ini memengaruhi metode yang digunakan oleh beberapa perangkat Coldcard untuk menghasilkan benih dompet bagi pemiliknya.

Perangkat-perangkat ini menghasilkan seed phrase dengan tingkat keacakan yang tidak memadai, melemahkan keamanan yang melindungi kunci pribadi yang terkait. Penyerang karena itu dapat melakukan brute-force terhadap seed phrase yang rentan dan mengidentifikasi alamat bitcoin yang terkait dengan frase-frase tersebut.

Secara signifikan, para penyerang mengosongkan dompet single-signature tanpa secara fisik memperoleh atau berinteraksi dengan perangkat Coldcard yang terdampak. Pada pertengahan Agustus, Galaxy telah menghubungkan sekitar 1.779 BTC yang dicuri ke 190 korban dan lebih dari 8.600 alamat.

Para peneliti mengelompokkan insiden-insiden tersebut menjadi gelombang serangan terpisah menggunakan perilaku transaksi, alamat yang dikompromikan, dan pola pergerakan dompet. Galaxy juga mengidentifikasi kemungkinan gelombang serangan keempat, meskipun perusahaan riset tersebut belum mengonfirmasinya.

Selain itu, eksploiter Gelombang 3 menggabungkan dana dari brankas yang sebelumnya tidak diketahui yang berisi 58 alamat. Galaxy percaya bahwa alamat-alamat tersebut kemungkinan milik korban Coldcard tambahan yang terdampak oleh kelemahan generasi seed yang sama.

Menambahkan vault tersebut akan meningkatkan perkiraan pencurian menjadi 1.806 BTC, senilai sekitar $143,9 juta. Angka yang direvisi memperluas both the suspected victim pool dan skala Bitcoin yang terkait dengan eksploitasi.

Peneliti blockchain masih dapat mengamati pergerakan dari alamat-alamat yang teridentifikasi, meskipun CoinJoin mempersulit atribusi transaksi langsung. Para penyelidik dapat memeriksa waktu transfer, input bersama, jumlah yang berulang, dan koneksi antar dompet untuk melacak aset yang dicuri.

Preferensi pelaku serangan terhadap brankas yang lebih besar juga mengungkapkan pendekatan terorganisasi dalam memindahkan dan mencuci aset yang dikompromikan. Sebagian besar bitcoin yang dicuri tetap berada di alamat yang dikendalikan pelaku, meninggalkan sejumlah besar yang terlihat oleh penyelidik blockchain. Namun, pergerakan lebih lanjut dapat memengaruhi brankas yang tersisa saat operator memproses dana dari saldo yang lebih besar menuju dompet yang lebih kecil.

Juga Dibaca: Peretas Liquid Menawarkan untuk Mengembalikan Sebagian Besar 4.000 BTC Setelah Kerentanan Diperbaiki

Pos Coldcard Attacker Moves 45% of Wave 3 Bitcoin Through CoinJoin muncul pertama kali di 36Crypto.