Galaxy Research, исследовательское подразделение Galaxy Digital, расширило анализ инцидента с кошельком Coldcard после выявления 1 196 затронутых Bitcoin адресов. За 41-минутный промежуток эти адреса потеряли в общей сложности 1 082,65 BTC — на сумму около 70,2 млн долларов США на момент совершения транзакций.
Новые данные еще больше сдвигают ранее сделанные оценки, помогая прояснить, что могли выполнить злоумышленники сразу после генерации семян у уязвимых кошельков. Отслеживание Galaxy Research охватывает движения между 1:10 и 1:51 UTC 30 июля в блоках с 960 183 по 960 191, примерно за 30 часов до публикации Coldcard своего первого информационного сообщения о безопасности.
Основные выводы
- Galaxy Research выявила 1 196 адресов, связанных с инцидентом с Coldcard, и отследила потери в размере 1 082,65 BTC за 41 минуту.
- Выявленная активность происходила с 1:10 до 1:51 UTC 30 июля в блоках 960 183–960 191, примерно за 30 часов до первоначального предупреждения Coldcard.
- Ранние оценки генерального директора AnchorWatch Роба Гамильтона были ниже и указывали на перемещение 594,48 BTC через более узкий трехблочный интервал.
- Galaxy Research отмечает, что транзакции имеют характерный паттерн в цепочке — идентичные комиссии по 30 сатоши за виртуальный байт и отсутствие выходов с изменением — но будущие извлечения могут отличаться.
Galaxy Research расширяет карту атак
Galaxy Research сообщает, что отследила движения Bitcoin, связанные с инцидентом, до конкретного всплеска активности 30 июля. Исследование сосредоточено на адресах, связанных с компрометацией кошелька Coldcard, средства с которых были перемещены между 1:10 и 1:51 UTC.
Согласно Galaxy Research, потери, накопленные за короткий промежуток блоков — с 960 183 по 960 191, — указывают на то, что атака, вероятно, осуществлялась с использованием автоматизации и повторяющейся структуры транзакций, а не случайных ручных перемещений. На момент выходных переводов сумма в 1 082,65 BTC оценивалась примерно в 70,2 миллиона долларов США.
Также примечательно время: окно отслеживания Galaxy Research началось примерно за день до первого публично выпущенного предупреждения о безопасности от Coldcard, что указывает на то, что скомпрометированные средства были перемещены заранее, а цикл реагирования отставал от первоначального изъятия.
Сопоставление по шаблону помогает подтвердить связанные транзакции — в пределах допустимого
В последующем анализе Galaxy Research заявила, что выявленные транзакции имеют общую подпись. Компания сообщила, что в sweeping-транзакциях использовались идентичные комиссии по 30 сатоши за виртуальный байт, а в транзакциях не было выходов с изменением.
Эти характеристики полезны для следователей, поскольку они предоставляют ончейн-отпечаток для кластеризации деятельности, связанной с кошельками, что может снизить вероятность ошибочного приписывания несвязанных переводов. Galaxy Research также предупредила, что хотя первоначальная атака может быть идентифицирована по этому шаблону, последующие атаки на адреса, сгенерированные Coldcard, могут не сохранять тот же отпечаток.
Для пользователей и аналитиков это различие имеет значение: оно означает, что общие данные о инцидентах, основанные исключительно на одной узнаваемой структуре транзакции, могут недооценивать дополнительные циклы активности, если последующие выборки отличались настройками комиссий или поведением выходов.
Ранние оценки были меньше, но основаны на более узком интервале
До более широкого анализа Galaxy Research предварительный анализ генерального директора и сооснователя AnchorWatch Роба Гамильтона оценил, что 594,48 BTC — около 38 миллионов долларов США на тот момент — были перемещены через 500 транзакций в пределах трехблокового окна.
Данные Хэмилтона были получены из более узкого сегмента активности в цепочке, отражающего, как быстро развивающиеся инциденты с кошельками часто опережают первоначальные расследования. Расширенный набор данных Galaxy Research эффективно обновляет картину, расширяя как набор адресов, так и временной период, связанный с всплеском 30 июля, почти удваивая общее количество BTC, приписываемое деятельности по изъятию.
Расхождение между оценками подчеркивает общую проблему реагирования на инциденты в системах с самостоятельным хранением: определение полного масштаба может требовать дней анализа, кластеризации и проверки — особенно когда злоумышленники используют схожую логику в нескольких транзакциях и адресах назначения.
Coinkite подтверждает наличие ошибки в прошивке и рекомендует миграцию семени
Производитель Coldcard, Coinkite, взял на себя ответственность за основную проблему. В посте на X в пятницу сооснователь Coinkite Родольфо Новак заявил, что компания работает над определением полного масштаба проблемы и подтвердил, что выпустила горячую исправление, предназначенное для удаления резервного программного пути.
Новак также подчеркнул ограничение меры по устранению: обновление не защищает seed-фразы, созданные на уязвимой прошивке. Практически пользователям, создавшим seed-фразы в течение受影响 периода, рекомендовали перевести средства на новую seed-фразу.
Это руководство соответствует основному риску при компрометации на основе семени: если уязвимость влияет на то, как ведут себя семенные данные или связанные пути выполнения, простое обновление прошивки может не обеспечить обратную защиту уже сгенерированных ключей. Непосредственная операционная импликация для пострадавших держателей заключается в том, что восстановление требует перевода на более безопасные ключевые данные, а не только обновления устройства.
Что дальше наблюдать пользователям, затронутым этим событием
Выявление Galaxy Research общего шаблона очистки в цепочке предоставляет более структурированную основу для отслеживания связанной активности, но предупреждение компании о том, что будущие атаки могут не соответствовать тому же отпечатку, указывает на то, что инцидент может продолжать развиваться в том, как он проявляется в цепочке. Пользователям, обеспокоенным тем, генерировали ли они семена с уязвимым прошивочным обеспечением, следует сосредоточиться на переводе оставшихся балансов на новые семена и продолжать мониторинг любых остаточных перемещений, связанных с адресами, связанными с логикой очистки.
Эта статья была первоначально опубликована как Coldcard Bitcoin Loss Estimate Up to $70M After Galaxy Review на Crypto Breaking News — вашем надежном источнике новостей о криптовалюте, новостей о bitcoin и обновлений блокчейна.