Galaxy Research tiết lộ, nguồn vốn bị đánh cắp trong đợt thứ ba của ví phần cứng Coldcard gần đây đã có hoạt động mới trên chuỗi. Các nhà nghiên cứu cho biết, kẻ tấn công đã chuyển đi 97,09 BTC, tương đương khoảng 7,7 triệu USD theo giá thứ Hai, chiếm khoảng 45% số tiền thu được trong đợt thứ ba.
Vốn được chuyển theo hai hướng
Vào ngày 2 tháng 9, kẻ tấn công đã chuyển khoảng 20,5 BTC từ địa chỉ kho lớn nhất, sau đó hoán đổi sang Ethereum thông qua THORChain. Đến cuối tuần, một đợt vốn khác đã vào chu trình CoinJoin để làm rối mối quan hệ giữa đầu vào và đầu ra giao dịch.
Galaxy Research cho biết, số tiền cuối cùng thực sự đến với Ethereum là 20,56 BTC. Ngoài ra, 57,24 BTC vẫn còn ở dạng tiền trả lại CoinJoin trên một địa chỉ duy nhất, và các nhà nghiên cứu đã mất dấu khoảng 19 BTC trên các tuyến đường tiếp theo.
293 địa chỉ được xử lý theo quy mô
Các nhà nghiên cứu cho biết, trong đợt tấn công thứ ba, kẻ tấn công đã tạo ra 293 địa chỉ ví đa chữ ký 2/2 để thu hút vốn của nạn nhân và xử lý theo thứ tự từ địa chỉ có quy mô lớn nhất đến nhỏ nhất. Đến nay, 11 địa chỉ trong số đó đã bị làm rỗng.
- 10 địa chỉ tiếp theo tổng cộng sở hữu 30,81 BTC
- 233 địa chỉ nhỏ còn lại tổng cộng sở hữu 33,77 BTC
- Khoảng 82% số bitcoin bị đánh cắp trong toàn bộ sự kiện vẫn chưa được di chuyển
Lỗ hổng có thể truy ngược về phần mềm firmware năm 2021
Sự cố trộm cắp này có thể truy ngược về một lỗ hổng phần mềm firmware mà Coinkite đã giới thiệu vào tháng 3 năm 2021. Lỗ hổng này đã chuyển quá trình tạo seed từ chip ngẫu nhiên phần cứng của thiết bị sang giải pháp thay thế bằng phần mềm, khiến độ mạnh entropy của khóa giảm từ 128 bit xuống chỉ khoảng 40 bit.
Các nhà nghiên cứu cho biết điều này cho phép kẻ tấn công tái tạo khóa riêng offline và trống rỗng số tiền trong các địa chỉ đơn chữ ký mà không cần tiếp xúc với thiết bị phần cứng. Coinkite hiện đã cập nhật firmware, nhưng các seed được tạo dưới phiên bản cũ không thể được sửa chữa trực tiếp thông qua nâng cấp; người dùng liên quan vẫn cần tạo seed mới và chuyển tài sản.
Tổng quy mô có thể tiếp tục được điều chỉnh tăng
Galaxy Research cũng đề cập đến một địa chỉ kho chưa từng được công bố trước đây, được tài trợ bởi 58 địa chỉ. Các nhà nghiên cứu chưa xác định được nguyên nhân, nhưng cho rằng nó cũng có thể là nguồn vốn bị ảnh hưởng của Coldcard.
Nếu phán đoán này đúng, tổng số bitcoin bị đánh cắp mà Galaxy Research đã công bố sẽ tăng lên khoảng 1.806 BTC, tương đương khoảng 143,9 triệu USD theo giá trong bài viết. Trước đó, tổ chức này cũng đề cập đến một đợt vốn thứ tư chưa được xác nhận, quy mô 638,5 BTC; nếu được xác minh, tổng quy mô sự việc sẽ vượt quá 2.400 BTC.