Эксплуатация Coldcard продолжает распространяться, поскольку следователи обнаруживают все больше затронутых кошельков и украденного bitcoin.
Недавнее открытие Galaxy Research теперь связывает инцидент с 4 585 адресами, из которых были изъяты средства в три волны, в общей сложности 1 367,05 BTC, что составляет около 88,6 млн долларов США.
Только последняя волна вывела 207,73 BTC из 1 912 адресов, увеличив предыдущие оценки до 2 673 кошельков и 1 158,81 BTC. Более важно, что расследователи обнаружили, что украденный bitcoin [BTC] остается на 100% неизрасходованным, что указывает на то, что злоумышленник предпочитает консолидацию, а не немедленную ликвидацию.
Такое поведение указывает на операционное планирование, а не на случайную продажу, оставляя средства готовыми к будущим движениям. По мере продвижения расследования могут появиться дополнительные связанные адреса, что еще больше расширит предполагаемый масштаб и хронологию эксплуатации.
Движения bitcoin после эксплуатации
Это более широкое расследование теперь предоставляет более четкое представление о стратегии злоумышленника после первоначальной кражи. Onchain Lens показывает, что эксплуатируемый кластер получил 1 159,42 BTC, что эквивалентно примерно 72,71 млн долларов США, от 870 скомпрометированных адресов, прежде чем объединить средства в восемь проверенных кошельков.
Однако атакующий перевел только 0,06 BTC на новый адрес, оставив примерно 1 159,35 BTC нетронутыми.
Вместо того чтобы сигнализировать о немедленной ликвидации, эта модель указывает на то, что атакующий приоритизирует контроль, организацию и снижение экспозиции перед попыткой более крупных переводов.
Он также сохраняет большую часть украденного bitcoin видимым в блокчейне, позволяя следователям отслеживать будущие перемещения.
Тем не менее, как только средства начнут чаще покидать эти кластеры, вероятность отмывания или более широкого распределения значительно возрастет.
Сможет ли отслеживание блокчейна успевать?
Хотя атакующий еще не начал более широкое распространение, расследование теперь входит в более решающую фазу. Будущие движения на цепочке покажут, перейдет ли операция от управления средствами к их извлечению.
Переводы на регулируемые биржи могут раскрывать личности через процедуры KYC, создавая возможности для вмешательства.
Напротив, перемещения через миксеры или мосты между цепочками разбивают след транзакции и усложняют анализ блокчейна.
Частота транзакций, кластеризация адресов и маршрутизационные паттерны станут важнее, чем размер баланса в одиночку. Продолжающаяся неактивность сохранит четкие следы для расследования и усилит усилия по мониторингу.
Однако скоординированные исходящие переводы будут означать переход от локализованного инцидента к гораздо более сложной задаче отслеживания.
Финальное резюме
- Подозреваемая уязвимость Coldcard продолжает распространяться, поскольку следователи связывают все больше кошельков со скраденным BTC.
- Дальнейшие движения биткоина определят, насколько эффективно следователи смогут продолжать отслеживать похищенные средства.