Galaxy Research сообщила, что средства, похищенные в третьей волне из аппаратного кошелька Coldcard, недавно снова проявили активность в блокчейне. Исследователи отметили, что злоумышленник перевел 97,09 BTC, что по цене в понедельник составляло около 7,7 млн долларов США и примерно 45% от общей суммы, полученной в третьей волне.
Средства переводятся двумя путями
2 сентября злоумышленник сначала перевел примерно 20,5 биткоина из самого крупного хранилища, после чего через THORChain обменял их на эфир. К выходным другая часть средств поступила в цикл CoinJoin для сбивания связи между входами и выходами транзакций.
Galaxy Research сообщает, что окончательно достигшая Ethereum сумма составила 20,56 BTC. Еще 57,24 BTC остаются на одном адресе в виде размена CoinJoin, а отслеживание еще примерно 19 BTC было прервано на последующих этапах.
293 адресов обработаны по размеру
Исследователи сообщили, что в третьей волне атаки злоумышленники создали 293 двухиздвух-мультиподписных кошелька для средств жертв и обрабатывали их в порядке убывания размера адресов. На данный момент 11 из этих адресов были опустошены.
- Следующие 10 адресов в совокупности владеют 30,81 BTC
- Остальные 233 меньших адреса в совокупности владеют 33,77 BTC
- В течение всего инцидента около 82% похищенных биткоинов все еще не были перемещены
Уязвимость восходит к прошивке 2021 года
Эта кража связана с аппаратным дефектом, введенным Coinkite в марте 2021 года. Дефект переместил процесс генерации семени с аппаратного чипа случайных чисел устройства на программное решение, что снизило энтропию ключа с 128 бит до примерно 40 бит.
Исследователи отмечают, что это позволяет злоумышленникам восстановить закрытый ключ в офлайн-режиме и извлечь средства из адресов с одиночной подписью, не имея доступа к аппаратному устройству. Coinkite уже обновила прошивку, однако семена, сгенерированные в старых версиях, нельзя исправить простым обновлением; соответствующим пользователям необходимо сгенерировать новые семена и перевести активы.
Общий объем может быть дополнительно пересмотрен в сторону повышения
Galaxy Research также упомянула ранее неизвестный адрес хранилища, который был профинансирован 58 адресами. Исследователи пока не подтвердили его происхождение, но считают, что он также может содержать средства жертв Coldcard.
Если это предположение верно, общая сумма украденных средств, уже опубликованная Galaxy Research, возрастет до примерно 1806 биткоинов, что по цене из статьи составляет около 143,9 миллиона долларов США. Ранее эта организация также упоминала еще одну неподтвержденную четвертую волну переводов объемом 638,5 биткоина; если она подтвердится, общая сумма инцидента превысит 2400 биткоинов.