Sebuah gelombang keempat serangan yang diduga menargetkan dompet Bitcoin yang dihasilkan oleh Coldcard yang rentan mungkin sudah berlangsung, dengan peneliti blockchain Alex Thorn memperingatkan pada 3 Agustus bahwa hampir 449 BTC telah diambil dari ratusan alamat dalam sekitar dua setengah jam.
Aktivitas terbaru, yang masih berlangsung saat Thorn memposting, mengikuti tiga gelombang sebelumnya yang dikaitkan oleh para peneliti dengan kerentanan entropi lemah yang memengaruhi versi firmware Coldcard tertentu.
Sweeping Baru Terus Berlanjut
Thorn mengatakan analisis terbarunya mengidentifikasi 218 transaksi yang memengaruhi 462 alamat korban yang diduga antara blok Bitcoin 960778 dan 969792. Transaksi-transaksi tersebut memindahkan 388,93 BTC, bernilai sekitar $24,4 juta pada harga saat ini, ke 216 alamat tujuan, hampir semuanya baru dibuat dan tidak memiliki riwayat transaksi sebelumnya.
“Ini kemungkinan korban Coldcard — mereka sesuai dengan bentuk UTXO yang rentan terhadap Coldcard, dan pola transaksi yang meningkat memberi saya kepercayaan tinggi bahwa ini adalah gelombang serangan lainnya,” tulisnya.
Analis menekankan bahwa ia belum memiliki konfirmasi langsung dari korban, itulah sebabnya ia sengaja menggunakan kata "kemungkinan" karena kehati-hatian. Ia juga segera memperbaiki daftar tujuan, menghapus enam alamat, yang menurutnya sudah menerima dan menghabiskan BTC jauh sebelum insiden Coldcard dimulai pada 30 Juli. Keenam alamat tersebut menyumbang lebih dari 5 BTC dari angka yang sebelumnya dihitung.
Selain itu, Thorn menyingkirkan 89 alamat multisig dari daftarnya, karena tidak ada yang muncul dalam tiga gelombang pertama, sehingga inti yang tersisa berjumlah 709 alamat dan 448,73 ($28,1 juta) di seluruh transaksi yang telah dikonfirmasi dan masih menunggu.
Dia mendesak pengguna untuk segera memindahkan dana mereka dari perangkat Coldcard yang terdampak dan menggunakan biaya transaksi yang lebih tinggi, serta memperingatkan bahwa beberapa transaksi yang masih menunggu telah mengaktifkan Replace-by-Fee, atau RBF, yang berarti korban yang transaksinya masih berada di mempool mungkin memiliki kesempatan sangat singkat untuk mengalahkan penyerang dan merebut kembali dana mereka sebelum konfirmasi.
Gelombang Sebelumnya Masih Belum Dibelanjakan
Galaxy Research telah memperkirakan bahwa tiga gelombang pertama yang dikonfirmasi telah menguras 1.367 BTC, senilai sekitar $85,7 juta, dari 4.585 alamat bitcoin. Menurut perusahaan tersebut, dana-dana tersebut belum dihabiskan dan masih berada di dompet yang dikendalikan penyerang, menunjukkan operasi yang terkoordinasi daripada pencurian kesempatan.
Namun, tidak semua BTC yang dicuri tetap berada di tempatnya. Salah satu korban yang memegang hampir 30 BTC kehilangan 17 di antaranya diarahkan melalui ThorChain ke kasino online Duel, yang dilaporkan meminta korban untuk melaporkan ke polisi sebelum mereka mempertimbangkan pembekuan.
Serangan ini berasal dari kerentanan yang memengaruhi benih yang dihasilkan pada versi firmware Coldcard tertentu yang dirilis setelah Maret 2021. Coinkite, pembuat dompet Coldcard, menegaskan bahwa benih yang dibuat pada perangkat Mk3, Mk4, Mk5, dan Q yang terdampak terpapar, dan meskipun firmware terpatching terbaru telah menghentikan masalah ini untuk benih masa depan, ia tidak dapat mengamankan benih lama. Perusahaan juga menyatakan bahwa mereka telah menghancurkan semua inventaris yang rentan yang tersisa, menghentikan pengiriman, dan bekerja sama dengan pelanggan serta penegak hukum dalam upaya mengidentifikasi pihak-pihak yang bertanggung jawab atas pencurian tersebut.
Selain itu, perusahaan menyarankan pengguna untuk segera memigrasi ke seed baru di perangkat yang tidak terdampak, dengan Thorn menunjukkan bahwa setiap alamat Coldcard tanda-tangan tunggal yang dihasilkan di bawah kondisi rentan pada akhirnya akan dikosongkan.
Pos Coldcard Wallet Attacks Enter Fourth Wave, Putting 449 BTC at Risk muncul pertama kali di CryptoPotato.