Согласно Galaxy Research, злоумышленник, связанный с третьей волной атак на кошельки Coldcard, уже перевел 45% похищенных монет.
Компания заявила, что средства были переведены либо в ethereum через THORChain, либо в Coinjoin, с целью отмывания похищенных активов. Во время волны 3 злоумышленник создал 293 мультиподписных хранилища 2 из 2 для монет жертв.
Волна 3
Первые движения 2 сентября перенаправили средства через THORChain на Ethereum, а последние операции были направлены в циклы Coinjoin. Galaxy Research said, что оператор систематически тратит наибольшую долю украденных средств в соответствии с их ранжированием по размеру. Ранги с 1 по 11 уже были перемещены.
Следующие 10 невостребованных хранилищ содержат 30,81 BTC, в то время как ранги с 61 по 293 содержат в совокупности 33,77 единиц. Последние транзакции позволили Galaxy выявить ранее неизвестное хранилище, связанное с 58 адресами, которые, вероятно, принадлежат жертвам Coldcard.
Большая часть средств, похищенных в результате эксплуатации уязвимости Coldcard, пока не перемещались. На самом деле примерно 82% по всем волнам все еще находятся на адресах, контролируемых злоумышленником, где монеты были изначально сохранены. Оставшиеся 18% уже были переведены, и эти переводы, по всей видимости, связаны с попытками отмыть добычу в результате эксплуатации.
Последствия
Атака началась 30 июля 2026 года и была направлена на кошельки Coldcard с уязвимостью в прошивке, существовавшей годами. Проблема возникла из-за обновления от марта 2021 года и ошибки сборки. Она заставляла кошельки использовать слабый программный генератор случайных чисел вместо аппаратного источника. Это снизило безопасность семени с ожидаемых 128 бит до всего 40 бит на старых устройствах. Злоумышленники могли затем подобрать ключи методом перебора, не имея физического доступа к кошелькам.
Активность bitcoin резко выросла после инцидента, когда пострадавшие пользователи переместили и объединили свои активы, чтобы минимизировать риски, выведя количество активных адресов на восьмимесячный максимум. Однако инцидент оказал незначительное влияние на цену криптоактива. Вместо этого BTC продемонстрировал впечатляющий рост, приблизившись к $82 000 в прошлом месяце.
С тех пор актив откатился, но на момент написания торгуется около $79 500.
Пост Coldcard Exploiter Moves 45% of Wave 3 Loot as Stolen Bitcoin Enters CoinJoins появился первым на CryptoPotato.