Уязвимость в семени COLDCARD: удержано 1 159 BTC, 64 BTC отправлено в миксер

Крупный эксплойт COLDCARD продолжает развиваться в цепочке: основной нападавший, связанный с уязвимостью, до сих пор удерживает 1 159 BTC на семи адресах, в то время как другой участник начал перенаправлять меньшие суммы через миксер — что предоставляет следователям новый след для отслеживания. Что происходит в цепочке: - Мониторинг Galaxy Research показывает, что крупнейшее известное хищение — 1 159 BTC — было перечислено на семь адресов в течение примерно 41 минуты, и эти балансы с тех пор не двигались. Следователи не наблюдали переводов с этих адресов на биржи, миксеры или типичные сервисы вывода средств. - Технически средства не заморожены — протокол Bitcoin не может остановить транзакции просто потому, что адрес был помечен — однако перевод этих монет в фиат или регулируемые сервисы, скорее всего, вызовет срабатывание AML/KYC-контролей. Органы правопорядка, биржи и аналитические компании пометили около 600 адресов, связанных с общим хищением, что увеличивает риск того, что любой депозит на соответствующую платформу привлечет внимание. Новая активность миксера: - Анализаторы отследили поток в 64 BTC в транзакцию, связанную с миксером. Примерно 10 BTC были немедленно смешаны, а около 54 BTC вернулись в виде изменения и были разделены на примерно семь выходов по 7 BTC для дальнейшего смешивания. - Миксеры пытаются скрыть происхождение средств путем повторного объединения и изменения структуры транзакций, но не гарантируют анонимность. В данном случае относительно крупные и однородные выходы делают паттерн отмывания легче для отслеживания, что позволяет следователям продолжать мониторинг этих переходов. Несколько нападавших, несколько кластеров: - Активность миксера, по всей видимости, не связана с кластером из семи адресов, содержащим 1 159 BTC. Ранее сообщалось, что несколько нападавших могли воспользоваться одной и той же уязвимостью в генерации seed-фраз COLDCARD, поэтому активность одного кластера не должна считаться принадлежащей одному и тому же участнику. - Galaxy Research ранее подтвердила, что в трех волнах атак было похищено около 1 596 BTC из примерно 7 300 адресов, а также выявила 14 менее значительных связанных инцидентов. Подозреваемая четвертая волна может увеличить общую сумму до почти 2 055 BTC, хотя это дополнение еще не полностью подтверждено отчетами жертв. Как работал эксплойт и его последствия: - Уязвимость возникла из-за ошибки в прошивке, ослабившей случайность при генерации seed-фраз. Нападающие могли воспроизводить кандидатские seed-фразы в оффлайн-режиме, выводить адреса и сопоставлять их с живыми адресами в цепочке — без доступа к устройству, PIN-кодам или каких-либо компрометаций на уровне протокола. - Coinkite выпустила исправленную прошивку, но обновление устройства не исправляет seed-фразу, созданную с использованием уязвимой версии. Пользователи, затронутые уязвимостью, должны сгенерировать новую seed-фразу и перевести средства на адреса, полученные из нее, чтобы обеспечить безопасность. Правоприменение и перспективы возврата средств: - Galaxy передала подтвержденные адреса нападавших и жертв американским правоохранительным органам, биржам и группам киберрасследований. Эта расширенная база адресов повышает вероятность выявления попыток перенаправления монет через регулируемые каналы. - Тем не менее, возврат средств остается неопределенным. Нападающие могут перенаправлять средства через множество адресов, миксеры, децентрализованные платформы или юрисдикции за пределами досягаемости США перед попыткой вывода средств. Итог: Крупнейший известный нападавший, связанный с COLDCARD, в настоящее время удерживает 1 159 BTC, которые не двигались с момента первоначального перечисления, оставляя эти средства под постоянным общественным наблюдением. В то же время недавняя активность миксера другим участником создала отслеживаемый след, за которым следователи будут внимательно следить по мере развития ситуации.