- A Galaxy rastreou 1.082,65 BTC roubados de 1.196 endereços vinculados ao Coldcard.
- Padrões de transação fixos ligaram o ataque de 41 minutos a um único operador.
- A Coinkite emitiu atualizações de firmware de emergência após confirmar a falha.
A Galaxy Research disseminou que identificou 1.196 endereços Bitcoin esvaziados de 1.082,65 BTC, com valor aproximado de US$ 70,2 milhões, durante um período de 41 minutos em 30 de julho. Segundo a Galaxy Research, as transações ocorreram entre 01:10:20 UTC e 01:51:26 UTC em seis blocos de Bitcoin antes que a Coinkite divulgasse publicamente uma vulnerabilidade de firmware afetando certas carteiras de hardware Coldcard. A empresa também afirmou que não encontrou transações adicionais correspondentes nos últimos 30 dias.
Padrão onchain ligado às transações
De acordo com a Galaxy Research, cada transação pagou a mesma taxa de rede de 30,0 sat/vB e não gerou saída de troco. Os pesquisadores disseram que a taxa fixa distinguiu a atividade das normalizações de bitcoin e apontou para um único operador automatizado.
O relatório afirmou que 1.183 endereços SegWit nativos, sete endereços BIP-49 e seis endereços BIP-44 foram esvaziados. Galaxy Research disse que a distribuição correspondeu à varredura automatizada em múltiplos caminhos de derivação de carteira.
Os pesquisadores também descobriram que as transações apareceram em lotes, e não continuamente. Três blocos intermediários não contiveram atividade de sweep durante o período de 41 minutos. Enquanto isso, a Galaxy Research disse que quatro endereços de bitcoin receberam os fundos roubados. Acrescentou que esses saldos não se moveram desde a consolidação inicial.
Bug no firmware provocou resposta de emergência
A Coinkite primeiro alertou os usuários sobre um problema afetando seeds gerados em dispositivos Coldcard Mk3 com versão de firmware 4.0.1 e posterior. A empresa posteriormente ampliou o aviso para incluir certas versões de firmware Mk4, Mk5 e Coldcard Q, enquanto lançava atualizações de firmware de emergência.
O CEO da Coinkite, Rodolfo Novak, assumiu a responsabilidade pelo bug no firmware e se desculpou com os usuários. Ele também disse que o processo de revisão da empresa não detectou o problema antes do lançamento.
Novak sugeriu ainda que inteligência artificial pode ter ajudado a descobrir a vulnerabilidade. Ele disse que a revisão de código assistida por IA pode identificar fraquezas de software mais rapidamente do que revisões manuais tradicionais.
Pesquisadores alertam que mais ataques ainda são possíveis
A Galaxy Research disseceu que futuros ataques permanecem possíveis se os usuários mantiverem fundos em endereços Coldcard de assinatura única afetados. No entanto, a empresa enfatizou que futuros incidentes podem não seguir o mesmo padrão de transações onchain.
De acordo com a Galaxy Research, o padrão identificável só está ligado ao atacante inicial. Ele não detecta roubos futuros, pois essas transações podem parecer idênticas às transferências legítimas da carteira.
A empresa incentivou os usuários a transferir fundos para serviços de custódia confiáveis custodial services ou configurações de custódia própria com múltiplas assinaturas. A Coinkite também aconselhou os usuários a instalar firmware atualizado, gerar uma nova seed, testar a carteira com uma transferência pequena e manter os backups antigos até a migração ser concluída.