Експлуатація Coldcard продовжує розширюватися, оскільки слідчі виявляють все більше заражених гаманців і вкраденого bitcoin.
Недавнє виявлення Galaxy Research тепер пов’язує інцидент з 4 585 адресами, з яких було виведено кошти у три хвилі, загальною сумою 1 367,05 BTC, що становить близько 88,6 мільйона доларів США.
Одна лише остання хвиля вивела 207,73 BTC з 1 912 адрес, що розширює попередні оцінки в 2 673 гаманців та 1 158,81 BTC. Ще важливіше, слідчі виявили, що вкрадений bitcoin [BTC] залишається на 100% незатраченим, що свідчить про те, що нападник віддає перевагу консолідації над миттєвою ліквідацією.
Ця поведінка свідчить про операційне планування, а не випадкову продажну діяльність, залишаючи кошти готовими до майбутніх рухів. По мірі продовження розслідування можуть з’явитися додаткові пов’язані адреси, що додатково розширює підозрювані масштаби та хронологію експлуатації.
Рухи bitcoin після експлуатації
Це ширше розслідування тепер дає чіткіше уявлення про стратегію нападника після початкового крадіжки. Onchain Lens показує, що кластер експлойту отримав 1 159,42 BTC, що становить близько 72,71 мільйона доларів США, від 870 скомпрометованих адрес, перш ніж об’єднати кошти у вісім підтверджених гаманців.
Однак атакувач перемістив лише 0,06 BTC на нову адресу, залишивши приблизно 1 159,35 BTC незчепленими.
Замість сигналу про негайну ліквідацію, ця модель вказує на те, що атакуючий пріоритезує контроль, організацію та зменшення експозиції перед спробами здійснення більших переказів.
Він також зберігає більшість вкраденого bitcoin видимим у ланцюгу, що дозволяє слідчим стежити за майбутніми рухами.
Тим не менш, зі збільшенням частоти виведення коштів із цих кластерів ймовірність відмивання або більш широкого розподілу значно зросте.
Чи зможе відстеження блокчейну впоратися?
Хоча атакуючий ще не розпочав широке розповсюдження, розслідування зараз входить у більш вирішальний етап. Майбутні на-ланцюгові рухи покажуть, чи перейде операція від управління коштами до їх вилучення.
Перекази на регульовані біржі можуть відкривати ідентичність через процедури KYC, створюючи можливості для втручання.
Навпаки, рухи через міксери або міжланцюгові мости розриватимуть ланцюжок транзакцій і ускладнювали б аналіз блокчейну.
Частота транзакцій, кластеризація адрес та шаблони маршрутизації стануть важливішими, ніж розмір балансу окремо. Продовження неактивності збереже чіткі сліди для розслідування та підсилисть зусилля з моніторингу.
Однак координовані вихідні перекази позначили б перехід від обмеженого інциденту до набагато складнішої задачі відстеження.
Фінальний підсумок
- Підозрювана експлуатація Coldcard продовжує розширюватися, оскільки слідчі пов’язують більше гаманців із вкраденим BTC.
- Майбутні рухи bitcoin визначатимуть, наскільки ефективно слідчі зможуть продовжувати відстежувати вкрадені кошти.