Coldcard攻撃者がWave 3のBitcoinの45％をCoinJoinを通じて移動

要約

Coldcard攻撃者がCoinJoinを通じて97.09 BTCを移動させ、これはキャンペーン内で特定された第3の波で盗まれた資産の45%に相当します。
2021年のファームウェアの不具合により、ウォレットのシードのランダム性が弱まり、攻撃者がプライベートフレーズをブルートフォースで推測し、シングルシグネチャのBitcoinウォレットをリモートで空にすることができるようになりました。
Galaxyは、1,806 BTC（1億4,390万ドル）を攻撃と関連付け、その82％はブロックチェーン監視下で元の攻撃者制御アドレス内に残っている。

コールドカードハードウェアウォレットの攻撃の背後にある攻撃者は、第3波の攻撃で盗まれたBitcoinの45％を移動させました。Galaxy Researchによると、Wave 3の運営者は、約780万ドルに相当する97.09 Bitcoin（BTC）を転送しました。

攻撃者はCoinJoinトランザクションを通じてこれらの資産を処理し、盗難資金の移動を追跡しにくくしました。CoinJoinは、1つのトランザクション内で複数のBitcoin支払いを結合し、送信者と受信者間の関連性の可視性を低下させます。

しかし、Galaxyの分析によると、攻撃者は被害を受けたウォレットを選択する際に計算された順序を従っています。オペレーターは、バランスが最も大きいウォレットから順に、影響を受けたバウトを標的にしています。

1位から11位までのボルトはすでに洗浄操作に関連する動きを記録しています。一方、ギャラクシーの調査によると、次の10の未使用ボルトには合計で30.81 BTCが含まれています。

61位から293位の smaller vaults のもう一つのグループは、合計で33.77 BTCを保有しています。この振替パターンは、攻撃者がターゲットにした可能性のある侵害されたウォレットを特定するための手がかりを調査官に提供します。

攻撃者は9月2日、THORChainを介して盗まれたBitcoin（BTC）をEthereum（ETH）に変換しました。THORChainは、中央集権的な仮想通貨取引所に依存せずに、異なるブロックチェーン間で資産を交換できるようにします。

この変換は、盗まれた資産を元のColdcardアドレスから分離するためのもう一つの取り組みを示した。Galaxyは、盗まれた資金の82％が依然として攻撃者の元のウォレット内に残っていると報告した。その結果、洗浄または資産変換活動に関連しているように見える取引を通じて移動したのは、わずか18％に過ぎない。

Coldcardファームウェアのバグによりウォレットシードの生成が弱体化

Coldcardの盗難は7月30日に始まり、Coinkiteが2021年に出荷したファームウェアの欠陥が原因でした。この脆弱性は、特定のColdcardデバイスが所有者のためのウォレットシードを生成する方法に影響を与えました。

これらのデバイスは、十分なランダム性を持たないシードフレーズを生成しており、対応する秘密鍵を保護するセキュリティを弱めています。攻撃者はそのため、脆弱なシードフレーズをブルートフォースで試行し、それらのフレーズに関連付けられたBitcoinアドレスを特定できます。

注目すべきことに、攻撃者は対象となるColdcardデバイスを物理的に取得したり操作したりすることなく、シングルシグネチャウォレットから資金を引き出しました。8月中旬までに、Galaxyは約1,779BTCを190人の被害者と8,600以上のアドレスに関連付けました。

研究者は、トランザクションの行動、侵害されたアドレス、およびウォレットの移動パターンを用いて、これらの出来事を複数の攻撃波に分類しました。ギャラクシーは、第四の攻撃波の可能性も特定しましたが、同研究機関はこれを確認していません。

以前知られていなかったバウトが推定されるBitcoinの損失を引き上げる

さらに、ウェーブ3の悪用者は、58のアドレスを含む以前は未知のウォレットから資金を統合しました。ギャラクシーは、これらのアドレスが、同じシード生成の脆弱性の影響を受けた追加のColdcardの被害者である可能性があると考えています。

そのバウトを追加すると、推定被害額は1,806 BTC、約1億4,390万ドルに上昇します。この修正された数値は、疑わしい被害者層とこの攻撃に関連するBitcoinの規模を拡大します。

ブロックチェーン研究者は、CoinJoinが直接的な取引の帰属を複雑にしているものの、特定のアドレスからの動きを依然として観察できます。調査官は、振替のタイミング、共有される入力、繰り返される数量、およびウォレット間の関連性を調べて、盗まれた資産を追跡することができます。

攻撃者がより大きなヴァルトを好むことから、侵害された資産を移動・洗浄するための組織的なアプローチがうかがえる。盗まれたBitcoinの大部分は、既知の攻撃者制御アドレス内に残っており、ブロックチェーン調査員にとって大量の資産が可視化されている。しかし、運用者がより大きな残高から小さなウォレットへ資金を移動する過程で、残りのヴァルトにも影響が出る可能性がある。

投稿 Coldcard 攻撃者が Wave 3 の Bitcoin の 45% を CoinJoin で移動は、36Crypto で最初に公開されました。