Coldcard istismarından bir aydan fazla zaman geçti, ancak saldırgan hâlâ fonları hareket ettirmeyi durdurmadı.
7 Eylül'de Galaxy Research, Coldcard "Wave 3" saldırganının çalınan bitcoin [BTC]'yi farklı işlem yolları boyunca aktif olarak hareket ettirdiğini gösteren bir analiz hazırladı.
Saldırganın para aklama rotası
Zincir içi aktiviteye göre, saldırgan, çalınan fonları önce THORChain aracılığıyla Ethereum [ETH]'ye aktardı. Şimdi temizleme işlemi, Bitcoin CoinJoin işlemleriyken gerçekleşiyor.
Burada, 3. dalga kapsamında saldırgan, her biri bir kurban veya kurban gruplarının fonlarına karşılık gelen 293 adet 2-of-2 çok imzalı kasa oluşturmuş görünüyor.
Analize göre, yaklaşık 1.912 mağduriyet adresinden toplam 208,24 BTC, 293 toplama adresine birleştirildi. Bunun ardından her toplama adresi, bu kasanın birine para aktardı. Bu, çalınan BTC'leri saklamak için yapılandırılmış bir sistem oluşturdu.
Bitcoin şu ana kadar compromize edildi
İleride, 293 kasa, orijinal olarak ne kadar BTC içerdiğine göre sıralandı ve saldırgan bunları bu sırayla harcıyor.
İlk büyük çıkış, 2 Eylül'de en büyük kasanın 20,50 BTC'si THORChain aracılığıyla ethereum'a yönlendirildiğinde gerçekleşti, bu da daha fazla işlem katmanı ekleyerek fonların izlenmesini zorlaştırdı. Fonları alan iki ethereum adresi şimdi boşaltıldı.
Saldırgan daha sonra, bireysel fonların izlenmesini zorlaştıran çok sayıda kullanıcının bitcoin girdi ve çıktılarını karıştıran CoinJoin'e geçti. Bunun kullanıldığı 5 Eylül'de yaklaşık 15,48 BTC taşındı.
6 Eylül'de 61,12 BTC'lik bir hareket izledi ve bazı fonlar ara adresler aracılığıyla CoinJoin turuna girdi.
Bununla birlikte, üç büyük hareket boyunca saldırgan, beş gün içinde 97,09 BTC hareket ettirebildi ve Wave 3 kasanlarında yaklaşık 116,98 BTC'yi dokunulmamış bıraktı.
Bu, bu kasanın içindeki 214,07 BTC'nin yaklaşık %45'inin zaten taşındığı anlamına gelir.
Aklama daha da devam ediyor gibi görünüyor
Araştırmacılar aynı 2-of-2 çok imzalı desenini gösteren ve daha sonra bir CoinJoin ile ilişkilendirilen 58 adresden gelen fonları içeren daha önce bilinmeyen bir kasa da belirledi.
Başka bir Coldcard mağduru klasörü olarak onaylanırsa, Dalga 3, 293'ten 294 klasöre yükselir. Bu da tahmini toplam çalınan miktarın yaklaşık 1.806 BTC'ye çıkmasına neden olabilir.
Bu tüm hareketlerin ardından Galaxy Research rapor etti,
Coldcard sızıntısında çalınan madenlerin yaklaşık %82'si, orijinal saldırgan kontrolündeki adreslerde tutulurken, %18'i açıkça para aklama amaçlı taşınmıştır.
Son Özet
- Coldcard sızıcısı, çalınan fonları artık Bitcoin CoinJoin işlemlerini kullanarak aktarmıştır.
- Coldcard istismarında çalınan kripto paraların yaklaşık %82'si, orijinal saldırgan kontrolündeki adreslerde tutuluyor.