Эксплуатация Colcard, по всей видимости, намного масштабнее, чем предполагалось изначально. Это связано с тем, что следователи подтвердили, что от жертв эксплуатации Coldcard было похищено как минимум 1 719 bitcoin [BTC], или около $111 млн.
На самом деле, согласно Galaxy Research,
У нас есть ещё много монет, которые мы проверяем на предмет подтверждения — мы считаем, что общие потери, вероятно, превышают 130 млн долларов.
Таким образом, если подозрительные, но еще не подтвержденные случаи в их текущем списке окажутся подтвержденными, общая сумма может превысить 2 300 bitcoin.
Как вообще произошло это нападение?
Для контекста, инцидент связан с уязвимостью в некоторых кошельках Coldcard, использующих прошивку, выпущенную после 17 марта 2021 года. Уязвимость могла повлиять на безопасность или генерацию seed-фразы кошелька.
Поскольку семя служило мастер-ключом для кошелька Bitcoin [BTC], злоумышленники, которым удалось воссоздать его, получили доступ к деньгам без физического компрометирования Coldcard.
Дата выпуска прошивки имела значение, поскольку следователи не обнаружили похищенных монет из кошельков, созданных до этой даты. Они выявили более 25 паттернов атаки в трех волнах. Это указывает на то, что уязвимостью воспользовались несколько злоумышленников.
Насколько широко был распространен эксплойт Coldcard?
На данный момент более 250 жертв сообщили о потерях. Однако количество затронутых адресов может быть намного выше. Одна жертва могла использовать несколько кошельков.
Galaxy Research заявила, что не каждый кошелек Coldcard подвергся риску. Однако модели Mk3, Mk4, Mk5 и Q оказались уязвимыми. Эти модели работали на прошивке, выпущенной после 17 марта 2021 года.
Для контекста, эксплуатация Coldcard началась 30 июля.
Злоумышленник похитил примерно 594 BTC, что составляет 38 миллионов долларов США, из 500 кошельков за 15–25 минут.
Атака вызвала обеспокоенность в сообществе bitcoin. Тем не менее, основная сеть bitcoin осталась не затронутой.
Финальное резюме
- Galaxy Research обнаружила более 25 схем атак в трех волнах.
- Если текущий список подтвердится, общие потери могут превысить 2 300 bitcoin.