Galaxy Research, исследовательское подразделение Galaxy Digital, расширило цепочку блоков, связанную с инцидентом с кошельком Coldcard, который, как сообщается, привел к потере 1 082,65 bitcoin. В новом анализе компания выявила 1 196 адресов, участвовавших в транзакциях, связанных с этим событием, расширив оценочный масштаб за пределы ранее полученных предварительных данных.
Деятельность, на которую указывает Galaxy Research, происходила с 1:10 до 1:51 UTC 30 июля, охватывая блоки с 960 183 по 960 191 — примерно за 30 часов до публикации Coldcard своего первого предупреждения о безопасности, как указано в посте Galaxy Research на X.
Основные выводы
- Galaxy Research выявила группу из 1 196 адресов, связанных с инцидентом Coldcard, которые связаны с убытками в размере 1 082,65 BTC.
- Движения были зафиксированы в блоках 960 183–960 191 с 1:10 до 1:51 UTC 30 июля.
- Galaxy Research отмечает, что транзакции имеют узнаваемый на-цепочечный паттерн (включая идентичные комиссии и отсутствие выходов с изменением), хотя последующие атаки могут не повторять тот же отпечаток.
- Ранние оценки Роба Гамильтона и связанного анализа предполагали более узкий и ограниченный диапазон активности, который был заменен более широкой картой Galaxy Research.
- Coinkite сообщила, что выпустила горячий патч для ошибки прошивки, но пользователям, создавшим семена с помощью уязвимой прошивки, возможно, все еще потребуется переместить средства на новый семя.
Galaxy Research расширяет набор адресов
Согласно Galaxy Research, влияние инцидента видно в цепочке на большем количестве кошельков, чем было первоначально опубликовано. Компания сообщила, что идентифицировала 1196 адресов, связанных с инцидентом с кошельком Coldcard, в результате чего в анализируемый период было перемещено 1082,65 BTC.
Работа Galaxy Research по отслеживанию сосредоточилась на том, как эти средства перемещались по сети в течение определенного периода. Было сообщено, что основная транзакционная активность произошла с 1:10 до 1:51 UTC 30 июля, охватывая блоки с 960 183 по 960 191.
Это время также примечательно с точки зрения раскрытия информации. Galaxy Research указала, что это произошло примерно за 30 часов до публикации первого информационного сообщения о безопасности от Coldcard.
От меньшей оценки к более крупной ончейн-паттерне
До более широкого анализа Galaxy Research предварительная оценка инцидента указывала на более ограниченный объем операций. Ранний анализ Роба Гамильтона, генерального директора и сооснователя AnchorWatch, показал, что 594,48 BTC — примерно на сумму $38 млн на тот момент — были перемещены через примерно 500 транзакций в узком окне из трех блоков.
Позднейшая работа Galaxy Research не обязательно противоречит существованию этого резкого всплеска; скорее, она расширяет круг явлений, которые можно связать с этим событием, указывая на повторяющийся след транзакции.
В постах на X Galaxy Research заявила, что выявленные транзакции имеют определённые характеристики, включая идентичные комиссии в 30 сатоши за виртуальный байт и отсутствие выходов с изменением. Galaxy Research описала эти особенности как часть метода, позволяющего идентифицировать первоначальную атаку в цепочке.
Важно для пользователей, пытающихся оценить экспозицию: Galaxy Research также предупредила, что будущие атаки, направленные на адреса, сгенерированные Coldcard, могут не всегда следовать той же цепочке «отпечатков». Это означает, что владельцы кошельков не должны предполагать, что первый набор идентифицируемых признаков будет повторно использован в последующих попытках.
Что Coinkite говорит об ошибке прошивки и ограничениях обновлений
Сооснователь Coinkite Родольфо Новак публично прокомментировал проблему в посте на X в пятницу, заявив, что компания берет на себя ответственность за баг прошивки и работает над определением полного масштаба проблемы.
Новак также сказал, что Coinkite выпустила горячую исправление, предназначенное для удаления пути резервного программного обеспечения. Однако он предупредил, что установка этого исправления не обеспечивает обратную защиту семян, сгенерированных с использованием уязвимой прошивки.
На практике Новак посоветовал пользователям, которые создали семена на уязвимой прошивке, перевести свои средства на новый семя. Это различие — между устранением недостатка в будущем и защитой уже сгенерированных ключей — кажется ключевым для того, как пользователи должны интерпретировать реакцию на инцидент.
Это также напоминание о том, что «обновления прошивки устройства» и «безопасность семян» не всегда взаимозаменяемы. Если уязвимость затрагивала способ генерации или обработки семян, исправление может остановить новые риски, но не может отменить раскрытие, которое могло произойти, когда уязвимая прошивка сгенерировала исходный материал семян.
Почему расширенное отслеживание важно для оценки инцидентов
Разница между ранней оценкой Хэмилтона в 594,48 BTC и последующим определением Galaxy Research в 1 082,65 BTC подчеркивает, как учет инцидентов может изменяться по мере уточнения аналитиками методов кластеризации и расширения временных окон. Ранние ончейн-расследования часто сосредоточены на самых явных всплесках; более поздняя работа может связывать дополнительные кошельки и транзакции, используя общие признаки, такие как постоянные паттерны комиссий и структура транзакций.
Для трейдеров и пользователей это важно, потому что это меняет способ понимания экспозиции на инцидент. Владельцы кошельков, оценивающие необходимость перемещения средств, могут столкнуться с подвижной целью: более широкий набор адресов указывает на то, что затронутых кошельков может быть больше, чем предполагалось изначально, а предупреждение Galaxy Research о вариабельности отпечатков подразумевает, что поиск в блокчейне может не захватить всё с помощью одного шаблона.
Для разработчиков и аудиторов выпуск также подчеркивает важность как профилактических мер, так и своевременности раскрытия информации. Наблюдение Galaxy Research о 30-часовом разрыве между проанализированной активностью и первым опубликованным предупреждением Coldcard позволяет определить временной период, в течение которого пользователи могли действовать на основе неполной информации.
По мере верификации дополнительных деталей ключевой вопрос для более широкой экосистемы будет заключаться в том, подтвердят ли последующие расследования наличие дополнительных волн активности за пределами выявленного на-chain паттерна, описанного Galaxy Research, — и полностью ли технические выводы Coinkite объясняют, как поведение прошивки привело к заявленным потерям.
Читателям следует следить за дальнейшими обновлениями от Coinkite относительно того, каким образом баг повлиял на уровень seed, а также за дополнительным анализом в цепочке, который проверит, совпадают ли другие кластеры транзакций с отпечатком комиссии и «отсутствием выхода с изменением», описанным Galaxy Research.
Эта статья была первоначально опубликована как Galaxy Maps предупреждает о потерях bitcoin после инцидента с кошельком на Crypto Breaking News — вашем надежном источнике новостей о криптовалюте, новостей о bitcoin и обновлений блокчейна.