Galaxy Research, Coldcard donanım cüzdanının üçüncü dalgasında çalınan varlıkların yakın zamanda tekrar blok zincirinde harekete geçtiğini açıkladı. Araştırmacılar, saldırganın 97,09 BTC'nin taşındığını ve Pazartesi fiyatı baz alınarak bu miktarın yaklaşık 7,7 milyon ABD dolarına denk geldiğini belirtti; bu miktar, üçüncü dalga kazancının yaklaşık %45'ini temsil ediyor.
Para iki yoldan aktarılır
2 Eylül'de, saldırgan ilk olarak en büyük kasa adresinden yaklaşık 20,5 BTC çıkarttı ve THORChain aracılığıyla Ethereum'a çevirdi. Hafta sonuna kadar başka bir dizi fon, CoinJoin turuna girerek işlemlerin girdi ve çıktıları arasındaki ilişkileri karıştırmak için kullanıldı.
Galaxy Research, Ethereum'e nihai olarak ulaşan fonların 20,56 BTC olduğunu belirtti. Ek olarak, 57,24 BTC hâlâ tek bir adresde CoinJoin bozukluk şeklinde kalırken, araştırmacılar yaklaşık 19 BTC'nin takibini sonraki yolda kaybetti.
293 adres boyuta göre işleniyor
Araştırmacılar, üçüncü saldırı dalgasında, saldırganların mağdurların fonları için 293 adet 2/2 çok imzalı kasa adresi oluşturduğunu ve adres boyutlarına göre büyükten küçüğe doğru işlem yaptığını belirtti. Şu ana kadar bu adreslerden 11 tanesi boşaltıldı.
- Sonraki 10 adres toplamda 30,81 BTC tutarında sahiptir.
- Diğer 233 daha küçük adres toplamda 33,77 BTC tutarında tutar.
- Olay sırasında çalınan bitcoinlerin yaklaşık %82'si hâlâ hareket ettirilmedi.
Sızıntı, 2021 firmware'ine kadar uzanmaktadır
Bu hırsızlık olayı, Coinkite'nin 2021 Mart'ta sunduğu bir firmware kusuruna dayanmaktadır. Bu kusur, tohum oluşturma sürecini cihazın donanım rastgele sayı çipinden yazılım alternatifine taşıyarak anahtar entropi gücünü 128 bit'ten yaklaşık 40 bite kadar düşürmüştür.
Araştırmacılar, bu durumun saldırganların özel anahtarları çevrimdışı olarak yeniden oluşturmasına ve donanım cihazına dokunmadan tek imzalı adreslerdeki varlıkları boşaltmasına izin verdiğini belirtti. Coinkite şu anda firmwar'ı güncellemiştir, ancak eski sürümler altında oluşturulan tohumlar güncellemeyle doğrudan düzeltilemez; ilgili kullanıcılar yeni tohumlar oluşturup varlıklarını taşımak zorundadır.
Toplam hacim veya devam eden yükseltme
Galaxy Research, bu kez daha önce açıklanmayan bir kasa adresinden de bahsetti; bu adres, 58 adresten finanse edildi. Araştırmacılar, bunun nedenini henüz doğrulamadı, ancak bunun da Coldcard mağduriyetlerinin para kaynakları olabileceğini düşünüyor.
Bu yargı geçerliyse, Galaxy Research'in açıkça yayınladığı çalınan toplam miktar, yaklaşık 1.806 Bitcoin'e yükselir ve metindeki fiyata göre yaklaşık 143,9 milyon ABD dolarına denk gelir. Kurum daha önce, doğrulanmamış dördüncü bir fon akışı olarak 638,5 Bitcoin boyutunda bir miktar da belirtmişti; eğer doğrulanırsa, olayın toplam boyutu 2.400 Bitcoin'i aşacaktır.