Uma suposta quarta onda de ataques direcionados a carteiras de bitcoin geradas pelo Coldcard pode já estar em andamento, com o pesquisador de blockchain Alex Thorn alertando em 3 de agosto que quase 449 BTC foram retirados de centenas de endereços em cerca de duas horas e meia.
A última atividade, que ainda estava em andamento quando Thorn postou, segue três ondas anteriores que pesquisadores ligaram à mesma vulnerabilidade de baixa entropia que afeta certas versões do firmware Coldcard.
Novos Sweeps Continuam
Thorn disse que sua última análise identificou 218 transações afetando 462 endereços de vítimas suspeitas entre os blocos de bitcoin 960778 e 969792. As transações moveram 388,93 BTC, avaliados em cerca de US$ 24,4 milhões às taxas atuais, para 216 endereços de destino, quase todos recém-criados e sem histórico de transações anteriores.
“Esses são PROVAVELMENTE vítimas do Coldcard — correspondem ao formato dos UTXOs vulneráveis ao Coldcard, e o padrão elevado de transações me dá alta confiança de que são outra onda de ataque”, escreveu ele.
O analista destacou que ainda não tinha confirmação direta das vítimas, razão pela qual deliberadamente usou “provavelmente” por cautela. Ele também corrigiu rapidamente o conjunto de destinos, removendo seis endereços, que, segundo ele, já estavam recebendo e gastando BTC muito antes do incidente do Coldcard ter começado em 30 de julho. Os seis endereços representavam pouco mais de 5 BTC do valor anteriormente calculado.
Além disso, Thorn removeu 89 endereços multisig de sua lista, já que nenhum apareceu nas três primeiras ondas, reduzindo o núcleo restante para 709 endereços e 448,73 ($28,1 milhões) em transações confirmadas e ainda pendentes.
Ele incentivou os usuários a transferirem imediatamente seus fundos dos dispositivos Coldcard afetados e a utilizarem taxas de transação mais altas, além de alertar que algumas das transações pendentes tinham Replace-by-Fee, ou RBF, ativado, o que significa que vítimas cujas transações ainda estavam no mempool poderiam ter uma chance muito breve de superar o atacante e recuperar seus fundos antes da confirmação.
Ondas anteriores ainda não gastas
A Galaxy Research estimou que as três primeiras ondas confirmadas drenaram 1.367 BTC, avaliados em cerca de US$ 85,7 milhões, de 4.585 endereços de bitcoin. Segundo a empresa, esses fundos não foram gastos e ainda permanecem em carteiras controladas pelos atacantes, sugerindo uma operação coordenada em vez de um roubo oportunista.
No entanto, nem todos os BTC roubados permaneceram no lugar. Uma vítima que detinha cerca de 30 BTC teve 17 deles roteados através do ThorChain para o cassino online Duel, que supostamente informou à vítima para registrar um boletim de ocorrência antes de considerar um congelamento.
O ataque decorre de uma vulnerabilidade que afeta sementes geradas em certas versões do firmware do Coldcard lançadas após março de 2021. A Coinkite, fabricante da carteira Coldcard, confirmou que sementes criadas em dispositivos Mk3, Mk4, Mk5 e Q afetados estão expostas, e embora o firmware atualizado tenha resolvido o problema para novas sementes, não é possível proteger as antigas. Ela também afirmou que destruiu todo o estoque vulnerável restante, interrompeu envios e está trabalhando com clientes e autoridades policiais para identificar os responsáveis pelo roubo.
Além disso, a empresa aconselhou os usuários a migrar imediatamente para uma nova seed em um dispositivo não afetado, com Thorn destacando que cada endereço Coldcard de assinatura única gerado sob as condições vulneráveis acabará sendo esvaziado.
A postagem Coldcard Wallet Attacks Enter Fourth Wave, Putting 449 BTC at Risk apareceu primeiro em CryptoPotato.