Resumo
- O atacante do Coldcard transferiu 97,09 BTC por meio do CoinJoin, representando 45% dos ativos roubados durante a terceira onda identificada dentro da campanha.
- Uma falha de firmware de 2021 enfraqueceu a aleatoriedade da seed da carteira, permitindo que atacantes realizassem ataques de força bruta para recuperar frases privadas e esvaziassem remotamente carteiras Bitcoin de assinatura única.
- A Galaxy vinculou 1.806 BTC, equivalentes a US$ 143,9 milhões, à exploração, enquanto 82% permanecem dentro dos endereços originalmente controlados pelo atacante sob monitoramento da blockchain.
O atacante por trás das explorações da carteira de hardware Coldcard movimentou 45% do bitcoin roubado durante a terceira onda de ataques. De acordo com a Galaxy Research, o operador da Onda 3 transferiu 97,09 bitcoin (BTC), avaliados em aproximadamente US$ 7,8 milhões.
O explorador processou esses ativos por meio de transações CoinJoin, tornando mais difícil rastrear o movimento dos fundos roubados. CoinJoin combina vários pagamentos em bitcoin em uma única transação, reduzindo a visibilidade das conexões entre remetentes e destinatários.
No entanto, a análise da Galaxy indica que o atacante segue uma ordem calculada ao selecionar carteiras comprometidas. O operador direcionou os vaults afetados de acordo com seus saldos, começando pelas carteiras com as maiores quantias.
Os vaults classificados entre um e onze já registraram movimentos ligados à operação de lavagem de dinheiro. Enquanto isso, os próximos dez vaults não tocados contêm um total combinado de 30,81 BTC, segundo as descobertas da Galaxy.
Outro grupo de cofres menores, classificados entre 61 e 293, detêm coletivamente 33,77 BTC. Este padrão de transferência fornece aos investigadores possíveis indicadores sobre quais carteiras comprometidas o atacante poderia alvejar.
Antes de usar o CoinJoin, o explorador converteu o bitcoin (BTC) roubado em ethereum (ETH) por meio da THORChain em 2 de setembro. A THORChain permite que os usuários troquem ativos entre diferentes blockchains sem depender de uma exchange centralizada de criptomoedas.
A conversão marcou outra tentativa de separar os ativos roubados de seus endereços originais do Coldcard. A Galaxy relatou que 82% de todos os fundos roubados ainda permanecem dentro das carteiras originais do atacante. Consequentemente, apenas 18% foram movidos por transações que parecem estar conectadas a atividades de lavagem de ativos ou conversão de ativos.
Também leia: PYTH Price Prediction 2026–2030: Can Pyth Network Reach $0.20 Soon?
Bug no firmware do Coldcard enfraqueceu a geração da seed da carteira
Os roubos do Coldcard começaram em 30 de julho e surgiram de uma falha de firmware que a Coinkite enviou em 2021. A vulnerabilidade afetou o método que certos dispositivos Coldcard usavam para gerar sementes de carteira para seus proprietários.
Esses dispositivos geraram frases semente com aleatoriedade insuficiente, enfraquecendo a segurança que protege as chaves privadas correspondentes. Atacantes poderiam, portanto, forçar brutamente frases semente vulneráveis e identificar os endereços Bitcoin associados a essas frases.
Significativamente, os atacantes esvaziaram carteiras de assinatura única sem obter fisicamente ou interagir com os dispositivos Coldcard afetados. Até meados de agosto, a Galaxy havia conectado aproximadamente 1.779 BTC roubados a 190 vítimas e mais de 8.600 endereços.
Os pesquisadores agruparam os incidentes em ondas de ataque separadas usando comportamento de transações, endereços comprometidos e padrões de movimentação de carteiras. A Galaxy também identificou a possibilidade de uma quarta onda de ataque, embora a empresa de pesquisa não tenha confirmado.
Cofre anteriormente desconhecido aumenta as perdas estimadas de bitcoin
Além disso, o explorador da Onda 3 combinou fundos de um cofre anteriormente desconhecido contendo 58 endereços. A Galaxy acredita que esses endereços provavelmente pertencem a vítimas adicionais do Coldcard afetadas pela mesma fraqueza na geração da seed.
Adicionar esse cofre elevaria o roubo estimado para 1.806 BTC, avaliados em aproximadamente US$ 143,9 milhões. A cifra revisada amplia tanto o grupo de vítimas suspeitas quanto a escala de bitcoin ligada à exploração.
Pesquisadores da blockchain ainda podem observar movimentos de endereços identificados, embora o CoinJoin complica a atribuição direta de transações. Investigadores podem examinar o horário das transferências, entradas compartilhadas, quantias recorrentes e conexões entre carteiras para rastrear os ativos roubados.
A preferência do atacante por cofres maiores também revela uma abordagem organizada para mover e lavar ativos comprometidos. A maioria do bitcoin roubado permanece dentro de endereços conhecidos controlados pelo atacante, deixando uma quantia substancial visível para investigadores da blockchain. No entanto, movimentos adicionais podem afetar os cofres restantes à medida que o operador processa fundos de saldos maiores em direção a carteiras menores.
Também leia: Hackers da Liquid oferecem devolver a maioria dos 4.000 BTC assim que a vulnerabilidade for corrigida
A postagem Coldcard Attacker Moves 45% of Wave 3 Bitcoin Through CoinJoin apareceu primeiro em 36Crypto.