Galaxy Research повідомила, що вкрадені кошти з третьої хвилі з Coldcard-гаманця знову продемонстрували активність у ланцюзі. Дослідники зазначили, що атакувачі вивели 97,09 BTC, що за ціною в понеділок становить приблизно 7,7 мільйона доларів США — це близько 45% від загальної суми, отриманої в третій хвилі.
Засоби переказуються двома шляхами
2 вересня зловмисники спочатку вивели приблизно 20,5 біткоїнів з найбільшого складського адреси, після чого через THORChain обміняли їх на ефір. До кінця тижня інша частина коштів була введена в цикл CoinJoin для збентеження зв’язку між вхідними та вихідними транзакціями.
Galaxy Research зазначає, що фінальна сума, яка дійсно досягла Ethereum, становить 20,56 BTC. Ще 57,24 BTC залишаються на одному адресі у вигляді решти CoinJoin, а відстеження ще приблизно 19 BTC було перервано на подальших шляхах.
293 адресів оброблено за розміром
Дослідники зазначили, що під час третьої хвилі атаки зловмисники створили 293 2/2 мультипідписних гаманці для коштів жертв і обробляли їх у порядку спадання розміру адреси. На даний момент 11 із цих адрес були повністю опорожнені.
- Наступні 10 адрес разом тримають 30,81 BTC
- Інші 233 менших адреси разом тримають 33,77 BTC
- Під час усього інциденту приблизно 82% вкрадених біткоїнів залишилися нерухомими.
Уразливість походить з прошивки 2021 року
Цей випадок крадіжки пов’язаний із вадою прошивки, яку Coinkite ввела у березні 2021 року. Ця вада перенесла процес генерації посівів з апаратного генератора випадкових чисел на програмне рішення, що знизило ентропію ключів з 128 біт до приблизно 40 біт.
Дослідники зазначають, що це дозволяє зловмисникам офлайн відновити приватний ключ і вивести кошти з адрес з однією підписом, не маючи доступу до апаратного пристрою. Coinkite вже оновив прошивку, але сімени, згенеровані в старих версіях, не можна виправити шляхом оновлення; користувачам потрібно згенерувати нові сімени та перевести активи.
Загальний обсяг може бути далі переглянутий в бік збільшення
Galaxy Research згадала також раніше невідомий гаманець, який був поповнений 58 адресами. Дослідники ще не підтвердили його походження, але вважають, що він також може містити кошти жертв Coldcard.
Якщо це припущення вірне, загальна сума вкрадених коштів, яку Galaxy Research вже оприлюднила, зросте до приблизно 1806 біткоеїв, що за ціною зі статті становить близько 143,9 мільйона доларів США. Раніше ця організація згадувала ще одну непідтверджenu четверту хвилю коштів обсягом 638,5 біткоеїв; якщо вона буде підтверджена, загальний розмір інциденту перевищить 2400 біткоеїв.