A Galaxy Research, braço de pesquisa da Galaxy Digital, expandiu a pegada on-chain ligada ao incidente da carteira Coldcard que, segundo relatos, resultou na perda de 1.082,65 bitcoin. Em uma nova análise, a empresa identificou 1.196 endereços envolvidos em transações relacionadas a esse evento, ampliando a estimativa do escopo além dos números preliminares anteriores.
A atividade apontada pela Galaxy Research ocorreu entre 1:10 AM e 1:51 AM UTC em 30 de julho, abrangendo os blocos 960.183 a 960.191—cerca de 30 horas antes da Coldcard publicar seu primeiro aviso de segurança, conforme referenciado na postagem da Galaxy Research no X.
Principais conclusões
- A Galaxy Research rastreou um cluster de 1.196 endereços vinculados ao incidente do Coldcard, relacionados a perdas de 1.082,65 BTC.
- Os movimentos foram observados nos blocos 960.183–960.191 entre 1:10 AM e 1:51 AM UTC em 30 de julho.
- Galaxy Research afirma que as transações compartilham um padrão on-chain reconhecível (incluindo taxas idênticas e sem saídas de troco), embora ataques posteriores possam não reutilizar a mesma impressão digital.
- Estimativas anteriores de Rob Hamilton e análise relacionada sugeriram uma janela de atividade menor e mais restrita, que foi posteriormente superada pelo mapeamento da Galaxy Research.
- A Coinkite afirmou que lançou uma correção urgente para um bug de firmware, mas usuários que criaram seeds usando o firmware vulnerável ainda podem precisar transferir fundos para uma nova seed.
Galaxy Research amplia o conjunto de endereços
De acordo com a Galaxy Research, o impacto do incidente é visível na blockchain em um conjunto maior de carteiras do que inicialmente documentado publicamente. A empresa afirmou ter identificado 1.196 endereços ligados ao incidente da carteira Coldcard, que resultaram na movimentação de 1.082,65 BTC no período analisado.
O trabalho de rastreamento da Galaxy Research focou em como esses fundos se moveram pela rede durante um período específico. Relatou que a atividade transacional chave ocorreu entre 1:10 AM e 1:51 AM UTC em 30 de julho, atravessando os blocos 960.183 a 960.191.
Esse horário também é notável em termos de divulgação. A Galaxy Research indicou que isso ocorreu cerca de 30 horas antes da primeira advertência de segurança da Coldcard ser publicada.
De uma estimativa menor para um padrão on-chain maior
Antes do mapeamento mais amplo da Galaxy Research, uma visão preliminar do incidente sugeriu um alcance mais limitado. Análise anterior do CEO e co-fundador da AnchorWatch, Rob Hamilton, estimou que 594,48 BTC—valendo cerca de US$ 38 milhões na época—foram movidos em aproximadamente 500 transações dentro de uma janela estreita de três blocos.
O trabalho posterior da Galaxy Research não contradiz necessariamente a existência dessa explosão intensa; em vez disso, amplia o escopo do que pode ser associado ao evento, apontando para uma impressão digital de transação repetível.
Em postagens no X, a Galaxy Research disse que as transações identificadas compartilham características específicas, incluindo taxas idênticas de 30 satoshis por byte virtual e a ausência de saídas de variação. A Galaxy Research descreveu esses recursos como parte do método que permite identificar a atividade inicial do ataque na cadeia.
Importante para usuários que tentam avaliar a exposição, a Galaxy Research também alertou que futuros ataques direcionados a endereços gerados pelo Coldcard nem sempre seguirão a mesma “impressão digital” na cadeia. Isso significa que os proprietários de carteiras não devem assumir que o primeiro conjunto de características identificáveis será reutilizado em tentativas posteriores.
O que a Coinkite diz sobre o bug de firmware e os limites das atualizações
O co-fundador da Coinkite, Rodolfo Novak, abordou publicamente a questão por meio de uma postagem no X na sexta-feira, dizendo que a empresa assume a responsabilidade pelo bug de firmware e está trabalhando para determinar o escopo completo do problema.
Novak também disse que a Coinkite lançou um hotfix destinado a remover o caminho de fallback do software. No entanto, ele alertou que instalar a correção não protege retroativamente as sementes geradas usando firmware vulnerável.
Em termos práticos, Novak aconselhou os usuários que criaram seeds na firmware vulnerável a transferir seus fundos para um novo seed. Essa distinção—entre corrigir uma falha a partir de agora e proteger chaves já geradas—parece ser central para como os usuários devem interpretar a resposta ao incidente.
Este também é um lembrete de que “atualizações de firmware do dispositivo” e “segurança da seed” nem sempre são intercambiáveis. Se a vulnerabilidade afetou como as seeds foram geradas ou manipuladas, um patch pode impedir novos riscos, mas não pode desfazer a exposição que pode ter ocorrido quando o firmware vulnerável produziu o material original da seed.
Por que o rastreamento expandido é importante para a avaliação de incidentes
A diferença entre a estimativa anterior de Hamilton de 594,48 BTC e a identificação posterior da Galaxy Research de 1.082,65 BTC destaca como a contabilidade de incidentes pode evoluir à medida que analistas aprimoram técnicas de agrupamento e expandem janelas temporais. A forense on-chain inicial geralmente se concentra nos bursts mais claros; trabalhos posteriores podem conectar carteiras e transações adicionais usando características compartilhadas, como padrões consistentes de taxas e estrutura de transação.
Para traders e usuários, isso importa porque altera a forma como a exposição a incidentes pode ser compreendida. Proprietários de carteiras que avaliam se precisam mover fundos podem enfrentar um alvo móvel: um conjunto maior de endereços sugere que mais carteiras podem ter sido afetadas do que inicialmente pensado, enquanto o aviso da Galaxy Research sobre a variabilidade da impressão digital implica que buscas na cadeia podem não capturar tudo usando um único padrão.
Para desenvolvedores e auditores, o episódio também destaca a importância dos controles preventivos e do momento da divulgação. A observação da Galaxy Research sobre a lacuna de 30 horas entre a atividade analisada e a primeira publicação de aviso da Coldcard contextualiza o prazo durante o qual os usuários podem ter agido com informações incompletas.
À medida que mais detalhes forem verificados, a questão-chave para o ecossistema mais amplo será se as investigações subsequentes confirmarem ondas adicionais de atividade além do padrão on-chain identificável descrito pela Galaxy Research—e se as descobertas técnicas da Coinkite explicam plenamente como o comportamento do firmware levou às perdas relatadas.
Os leitores devem ficar atentos a novas atualizações da Coinkite sobre o que o bug afetou no nível do seed e sobre análises adicionais na cadeia que verifiquem se outros clusters de transações correspondem ou divergem da assinatura de taxa e “saída sem variação” descrita pela Galaxy Research.
Este artigo foi originalmente publicado como Galaxy Maps alerta para perdas de bitcoin após incidente com carteira no Crypto Breaking News – sua fonte confiável para notícias de cripto, notícias de bitcoin e atualizações de blockchain.