Galaxy Research збільшила оцінку втрат bitcoin до $70 млн

Galaxy Research, дослідницьке підрозділ Galaxy Digital, розширила он-чейн охоплення інциденту з гаманцем Coldcard після виявлення 1 196 постраждалих Bitcoin адрес. За 41 хвилину ці адреси втратили загалом 1 082,65 BTC — на суму близько 70,2 мільйонів доларів США на момент здійснення транзакцій.

Нові дані ще більше зміщують попередні оцінки, допомагаючи зрозуміти, що атакуючі могли виконати безпосередньо після генерації посівів у вразливих гаманцях. Слідкування Galaxy Research охоплює рухи між 1:10 ранку та 1:51 ранку за UTC 30 липня в блоках 960,183–960,191, приблизно за 30 годин до публікації Coldcard першого попередження про безпеку.

• Galaxy Research виявила 1 196 адрес, пов’язаних із інцидентом з Coldcard, і відстежила збитки на суму 1 082,65 BTC за 41 хвилину.
• Виявлена діяльність відбулася між 1:10 ранку та 1:51 ранку за UTC 30 липня, у блоках 960,183–960,191, приблизно за 30 годин до початкового попередження Coldcard.
• Ранішні оцінки генерального директора AnchorWatch Роба Гамільтона були нижчими і вказували на те, що 594,48 BTC пройшли через більш вузький триблоковий проміжок.
• Galaxy Research стверджує, що транзакції мають відмітний шаблон у ланцюжку — однакові комісії по 30 сатоші на віртуальний байт і відсутні виводи зміни, але майбутні виводи можуть відрізнятися.

Galaxy Research стверджує, що відстежила рухи Bitcoin, пов’язані з інцидентом, до конкретного сплеску активності 30 липня. Дослідження зосереджено на адресах, пов’язаних із компрометацією гаманця Coldcard, які були опорожнені між 1:10 та 1:51 годинами UTC.

За даними Galaxy Research, збитки, накопичені протягом короткого проміжку блоків — від 960 183 до 960 191 — свідчать, що атака, ймовірно, здійснювалася за допомогою автоматизації та повторюваних структур транзакцій, а не випадкових ручних переказів. На момент вихідних переказів 1 082,65 BTC оцінювалися приблизно в 70,2 мільйона доларів США.

Також варто звернути увагу на час: період відстеження Galaxy Research розпочався приблизно за день до першого публічного попередження про безпеку від Coldcard, що свідчить про те, що скомпрометовані кошти були переміщені рано, а цикл реагування відставав від початкового виведення.

У додатковому аналізі Galaxy Research зазначила, що виявлені транзакції мають спільний підпис. Компанія повідомила, що для зборів використовувалися однакові комісії у розмірі 30 сатоші на віртуальний байт, а транзакції не містили вихідів зі зміною.

Ці характеристики корисні для слідчих, оскільки вони надають он-чейн-відбиток для кластеризації діяльності, пов’язаної з гаманцями, що може зменшити ймовірність неправильного приписування не пов’язаних між собою переказів. Galaxy Research також попередила, що хоча початкова атака виявляється за цим шаблоном, пізніші атаки на адреси, згенеровані Coldcard, можуть не зберігати той самий відбиток.

Для користувачів та аналітиків це розрізнення має значення: воно вказує на те, що загальні дані про інциденти, засновані виключно на одній відомій структурі транзакції, можуть не враховувати додаткові раунди діяльності, якщо пізніші виведення відрізнялися налаштуваннями комісій або поведінкою виходу.

Перед більш широким аналізом Galaxy Research ранішні попередні оцінки від CEO та співзасновника AnchorWatch Роба Гамільтона показали, що 594,48 BTC — близько $38 мільйонів на той момент — було переміщено через 500 транзакцій у межах трьох блоків.

Цифри Гамільтона були отримані зі стислого сегменту on-chain активності, що відображає, як швидкоплинні інциденти з гаманцями часто випереджають початкові розслідування. Розширений набір даних Galaxy Research ефективно оновлює картину, розширюючи як набір адрес, так і період відстеження навколо вибуху 30 липня, майже подвоївши загальну кількість BTC, що припадає на активність збору.

Розбіжність між оцінками підкреслює загальну проблему реагування на інциденти в системах з самостійним зберіганням: визначення повного масштабу може вимагати днів відстеження, кластеризації та перевірки — особливо коли нападники використовують схожу логіку в багатьох транзакціях і пунктах призначення.

Виробник Coldcard, Coinkite, взяв на себе відповідальність за основну проблему. У пості на X у п’ятницю співзасновник Coinkite Родольфо Новак сказав, що компанія працює над визначенням повного масштабу проблеми і підтвердив, що випустив гарячий патч, призначений для видалення шляху резервного програмного забезпечення.

Новак також підкреслив обмеження цього виправлення: оновлення не захищає seed-фрази, створені на вразливій прошивці. Практично це означає, що користувачам, які створили seed-фрази під час періоду вразливості, порадили перевести кошти на нову seed-фразу.

Ці рекомендації відповідають основному ризику при компрометації на основі seed-ключів — якщо вразливість впливає на те, як поводяться seed-матеріали або пов’язані шляхи виконання, просте оновлення прошивки може не забезпечити захист вже згенерованих ключів. Негайна операційна наслідок для постраждалих власників полягає в тому, що відновлення вимагає переказу на безпечніші ключові матеріали, а не лише оновлення пристрою.

Виявлення Galaxy Research спільного шаблону очищення в мережі надає більш структуровану основу для відстеження пов’язаної діяльності, але попередження компанії про те, що майбутні атаки можуть не відповідати тому самому відбитку, свідчить про те, що інцидент може ще змінюватися в тому, як він проявляється в мережі. Користувачі, які стурбовані тим, чи згенерували вони ключі з вразливим прошивкою, повинні зосередитися на перенесенні залишків балансу на новостворені ключі та продовжувати моніторинг будь-яких залишкових рухів, пов’язаних з адресами, що пов’язані з логікою очищення.

Цю статтю спочатку опубліковано як Coldcard Bitcoin Loss Estimate Up to $70M After Galaxy Review на Crypto Breaking News – вашому надійному джерелі новин про криптовалюти, новин про bitcoin та оновлень блокчейну.