Özet
- Coldcard saldırganı, kampanyadaki üçüncü tanımlanmış dalga sırasında çalınan varlıkların %45'ini temsil eden 97,09 BTC'yi CoinJoin aracılığıyla aktardı.
- 2021 firmware hatası, cüzdan tohum rastgeleliğini zayıflattı ve saldırganların özel ifadeleri brute-force yöntemiyle bulup tek imzalı bitcoin cüzdanlarını uzaktan boşaltmasını sağladı.
- Galaxy, kaza ile ilişkili 1.806 BTC'yi (143,9 milyon dolar) tespit etti, ancak bu miktarın %82'si blok zinciri izleme altında orijinal saldırganın kontrolündeki adreslerde kalmaya devam ediyor.
Soğuk cüzdan saldırılarının arkasındaki saldırgan, üçüncü saldırı dalgası sırasında çalınan bitcoin'in %45'ini harekete geçirdi. Galaxy Research'e göre, Wave 3 operatörü, yaklaşık 7,8 milyon dolar değerinde 97,09 Bitcoin (BTC) transfer etti.
Saldırgan, bu varlıkları CoinJoin işlemlerini kullanarak işlemeye aldı ve çalınan fonların izlenmesini zorlaştırdı. CoinJoin, bir işlem içinde birkaç Bitcoin ödemesini birleştirir ve gönderenler ile alıcılar arasındaki bağlantıların görünürlüğünü azaltır.
Ancak Galaxy’in analizi, saldırganın kompromaya uğramış cüzdanları seçerken hesaplı bir sıra takip ettiğini gösteriyor. Operatör, en büyük miktarlara sahip cüzdanlardan başlayarak etkilenen kasanları hedef almıştır.
Bir ile on bir arasında sıralanan kasa, sahtecilik operasyonuyla bağlantılı hareketleri zaten kaydetmiştir. Bununla birlikte, Galaxy'nin bulgularına göre, sonraki on dokunulmamış kasa toplam 30,81 BTC içermektedir.
61 ile 293 arasında sıralanan başka bir küçük kasa grubu, toplamda 33,77 BTC tutarında tutmaktadır. Bu transfer deseni, saldırganın hangi compromised cüzdanları hedef alabileceğine dair araştırmacılara olası göstergeler sunmaktadır.
CoinJoin kullanmadan önce saldırgan, 2 Eylül'de THORChain aracılığıyla çalınan Bitcoin (BTC)'yi Ethereum (ETH)'e çevirdi. THORChain, kullanıcıların merkezi bir kripto para borsasına ihtiyaç duymadan farklı blok zincirleri arasında varlık değişimine izin verir.
Dönüşüm, çalınan varlıkları orijinal Coldcard adreslerinden ayırmaya yönelik başka bir çaba olarak işaret edildi. Galaxy, çalınan tüm fonların %82'sinin hâlâ saldırganın orijinal cüzdanlarında kaldığını bildirdi. Sonuç olarak, yalnızca %18'i, aklama veya varlık dönüşümü faaliyetlerine bağlantılı görünen işlemler aracılığıyla taşındı.
Ayrıca Okuyun: PYTH Fiyat Tahmini 2026–2030: Pyth Network Yakında $0,20'ye Ulaşabilir mi?
Coldcard Yazılımı Hatası Cüzdan Çekirdeği Oluşturmayı Zayıflattı
Coldcard çalıntıları 30 Temmuz'da başladı ve Coinkite'nin 2021'de gönderdiği bir donanım hatasından kaynaklandı. Bu zafiyet, bazı Coldcard cihazlarının sahipleri için cüzdan tohumları oluşturmak için kullandığı yöntemi etkiledi.
Bu cihazlar, karşılık gelen özel anahtarları koruyan güvenliği zayıflatan yetersiz rastgelelikte anahtar cümleleri üretti. Saldırganlar, bu nedenle güvensiz anahtar cümlelerini kaba kuvvetle deneyerek bu cümlelerle ilişkili Bitcoin adreslerini belirleyebilirdi.
Önemli bir şekilde, saldırganlar, etkilenen Coldcard cihazlarıyla fiziksel olarak temas kurmadan veya cihazları elde etmeden tek imzalı cüzdanları boşalttı. Ağustos ortalarına kadar Galaxy, yaklaşık 1.779 çalınan BTC'yi 190 mağdura ve 8.600'den fazla adrese bağladı.
Araştırmacılar, işlem davranışlarını, kompromaya uğramış adresleri ve cüzdan hareket desenlerini kullanarak olayları ayrı saldırı dalgalarına ayırdı. Galaxy, araştırma firmasının doğrulamadığı dördüncü bir saldırı dalgasının olasılığını da belirledi.
Daha Önce Bilinmeyen Kasa, Tahmini Bitcoin Kayıplarını Artırıyor
Ayrıca, Dalga 3 saldırganı, 58 adres içeren daha önce bilinmeyen bir kasa tarafından toplanan fonları birleştirdi. Galaxy, bu adreslerin aynı tohum üretme zayıflığından etkilenen ek Coldcard mağdurlarına ait olma olasılığı olduğunu düşünüyor.
Bu kasa eklenirse, tahmini çalınan miktar 1.806 BTC'ye, yaklaşık 143,9 milyon dolar değerinde olur. Düzeltilmiş rakam, siber saldırıya bağlı olarak şüphelenilen mağdurların sayısını ve Bitcoin'in ölçeğini genişletir.
Blockchain araştırmacıları, CoinJoin doğrudan işlem atıflarını karmaşık hale getirse de, tanımlanmış adreslerden gelen hareketleri gözlemlemeye devam edebilir. Araştırmacılar, çalınan varlıkları takip etmek için transfer zamanlamasını, paylaşılan girdileri, tekrarlayan miktarları ve cüzdanlar arasındaki bağlantıları inceleyebilir.
Saldırganın daha büyük kütüphanelere olan tercihi, kompromize edilen varlıkları taşıma ve aklama konusunda organize bir yaklaşım sergilediğini göstermektedir. Çalınan çoğu bitcoin hâlâ bilinen saldırgan kontrolündeki adreslerde kalmaktadır ve bu da blok zinciri araştırmacıları için önemli bir miktarı görünür hale getirmektedir. Bununla birlikte, operatör daha büyük bakiyelerden daha küçük cüzdanlara fonları işlemeye devam ettikçe, kalan kütüphaneler etkilenebilir.
Ayrıca Okuyun: Liquid Hakerleri, Zafiyet Düzeltildiğinde 4.000 BTC'nin Çoğunu İade Etme Teklifi Veriyor
Coldcard Saldırganı, Dalgası 3 Bitcoin’in %45’ini CoinJoin aracılığıyla taşıyor ilk olarak 36Crypto’da yayınlandı.