Galaxy Research mengungkap bahawa dana yang dicuri dalam gelombang ketiga Coldcard hardware wallet telah mengalami pergerakan semula di rantai baru-baru ini. Para penyelidik menyatakan bahawa penyerang telah memindahkan 97.09 BTC, yang setara dengan kira-kira $7.7 juta mengikut harga hari Isnin, atau sekitar 45% daripada jumlah yang diperoleh dalam gelombang ketiga.
Dana dipindahkan melalui dua saluran
Pada 2 September, penyerang pertama-tama mengeluarkan sekitar 20.5 Bitcoin dari alamat gudang terbesar, kemudian menukarnya menjadi Ethereum melalui THORChain. Pada akhir minggu, sejumlah dana lain memasuki putaran CoinJoin untuk mengacaukan hubungan antara input dan output transaksi.
Galaxy Research menyatakan bahawa jumlah dana yang akhirnya sampai ke Ethereum ialah 20.56 BTC. Sebanyak 57.24 BTC masih berada dalam bentuk perubahan CoinJoin di alamat tunggal, dan penyelidik kehilangan jejak sekitar 19 BTC seterusnya.
293 alamat diproses mengikut ukuran
Para penyelidik mengatakan bahawa dalam serangan gelombang ketiga, penyerang membina 293 alamat simpanan multi-sig 2/2 untuk dana mangsa, dan memprosesnya mengikut saiz alamat dari yang terbesar ke yang terkecil. Sehingga kini, 11 daripada alamat tersebut telah dikosongkan.
- 10 alamat seterusnya secara keseluruhan memegang 30.81 BTC
- 233 alamat kecil lainnya secara keseluruhan memegang 33.77 BTC
- Kira-kira 82% bitkoin yang dicuri masih belum dipindahkan sepanjang keseluruhan insiden.
Lubang keamanan boleh dilacak hingga firmware tahun 2021
Pencurian ini boleh dilacak kepada kecacatan firmware yang diperkenalkan oleh Coinkite pada Mac 2021. Kecacatan ini mengalihkan proses penghasilan benih dari cip nombor rawak peranti kepada penyelesaian perisian, menyebabkan kekuatan entropi kunci turun dari 128 bit kepada sekitar 40 bit sahaja.
Para penyelidik mengatakan bahawa ini membolehkan penyerang membina semula kunci peribadi secara luar talian dan mengosongkan dana dalam alamat tanda tunggal tanpa perlu menyentuh peranti keras. Coinkite kini telah mengemas kini firmware, tetapi benih yang dihasilkan di versi lama tidak boleh dibaiki secara langsung melalui pengemas kini, dan pengguna yang berkaitan masih perlu menghasilkan benih baharu dan memindahkan aset mereka.
Jumlah keseluruhan mungkin akan dinaikkan lagi
Galaxy Research juga menyebut alamat gudang yang sebelumnya tidak diumumkan, yang didanai oleh 58 alamat. Para penyelidik belum mengesahkan penyebabnya, tetapi menganggap ia mungkin juga merupakan dana korban Coldcard.
Jika penilaian ini benar, jumlah total bitcoin yang dicuri yang telah diumumkan oleh Galaxy Research akan meningkat menjadi sekitar 1,806 bitcoin, atau sekitar US$143.9 juta berdasarkan harga dalam artikel tersebut. Sebelumnya, pihak tersebut juga menyebutkan satu gelombang dana keempat yang belum dikonfirmasi, sebesar 638.5 bitcoin; jika terbukti, total skala peristiwa ini akan melebihi 2,400 bitcoin.