Lỗ hổng Seed của COLDCARD: 1.159 BTC bị giữ, 64 BTC đã được gửi đến mixer

Một vụ khai thác nghiêm trọng đối với COLDCARD vẫn đang tiếp diễn trên chuỗi: kẻ tấn công lớn nhất liên quan đến lỗ hổng này vẫn đang giữ 1.159 BTC trên bảy địa chỉ, trong khi một thực thể khác đã bắt đầu chuyển các khoản nhỏ hơn qua mixer — tạo ra một dấu vết mới cho các nhà điều tra theo dõi. Điều gì đang xảy ra trên chuỗi: - Việc giám sát trên chuỗi của Galaxy Research cho thấy vụ đánh cắp lớn nhất được biết đến — 1.159 BTC — đã được chuyển vào bảy địa chỉ trong khoảng 41 phút và số dư này chưa từng được di chuyển kể từ đó. Các nhà điều tra chưa ghi nhận bất kỳ chuyển khoản nào từ các địa chỉ này đến sàn giao dịch, mixer hoặc các dịch vụ rút tiền thông thường. - Về mặt kỹ thuật, số tiền này không bị khóa — giao dịch bitcoin không thể bị dừng bởi giao thức chỉ vì một địa chỉ đã bị đánh dấu — nhưng việc chuyển những đồng bitcoin này sang tiền pháp định hoặc các dịch vụ được quản lý rất có thể sẽ kích hoạt các biện pháp kiểm soát AML/KYC. Lực lượng thực thi pháp luật, các sàn giao dịch và các công ty phân tích đã đánh dấu khoảng 600 địa chỉ liên quan đến vụ đánh cắp rộng hơn, làm tăng nguy cơ bất kỳ khoản nạp nào vào nền tảng tuân thủ đều sẽ bị giám sát kỹ lưỡng. Hoạt động mixer mới: - Riêng biệt, các nhà phân tích đã theo dõi luồng 64 BTC流入 một giao dịch liên quan đến mixer. Khoảng 10 BTC đã được trộn ngay lập tức, trong khi khoảng 54 BTC được trả lại dưới dạng thay đổi và chia thành các đầu ra khoảng 7 BTC để tiếp tục trộn. - Mixer cố gắng che giấu nguồn gốc bằng cách tái kết hợp và định hình lại các giao dịch, nhưng chúng không đảm bảo tính ẩn danh. Trong trường hợp này, các đầu ra lớn và đồng đều tương đối khiến mô hình rửa tiền dễ theo dõi hơn, nghĩa là các nhà điều tra có thể tiếp tục giám sát các bước nhảy này. Nhiều kẻ tấn công, nhiều cụm khác nhau: - Hoạt động mixer dường như không liên quan đến cụm bảy địa chỉ đang giữ 1.159 BTC. Các báo cáo trước đó cho thấy có thể có nhiều kẻ tấn công đã khai thác cùng một lỗ hổng trong quá trình tạo cụm từ hạt giống của COLDCARD, do đó không nên giả định rằng hoạt động từ một cụm nào đó đến từ cùng một thực thể. - Galaxy Research trước đó đã xác nhận khoảng 1.596 BTC đã bị đánh cắp trong ba đợt tấn công từ khoảng 7.300 địa chỉ và xác định 14 sự cố nhỏ liên quan khác. Một đợt tấn công thứ tư có thể làm tổng số lên gần 2.055 BTC, mặc dù sự bổ sung này chưa được xác minh đầy đủ qua các báo cáo từ nạn nhân. Cách thức khai thác hoạt động và hậu quả: - Lỗ hổng xuất phát từ một lỗi phần mềm làm suy yếu tính ngẫu nhiên khi tạo cụm từ hạt giống. Kẻ tấn công có thể tái tạo các cụm từ hạt giống khả thi ngoại tuyến, suy ra các địa chỉ và khớp chúng với các địa chỉ đang hoạt động trên chuỗi — mà không cần truy cập thiết bị, mã PIN hay bất kỳ sự xâm phạm nào ở cấp giao thức. - Coinkite đã phát hành phần mềm sửa lỗi, nhưng việc cập nhật thiết bị không thể sửa chữa một cụm từ hạt giống đã được tạo bằng phiên bản có lỗ hổng. Người dùng bị ảnh hưởng phải tạo một cụm từ hạt giống mới và chuyển tiền đến các địa chỉ được suy ra từ nó để đảm bảo an toàn. Các nỗ lực thực thi pháp luật và triển vọng thu hồi: - Galaxy đã chia sẻ các địa chỉ kẻ tấn công và nạn nhân đã xác minh với lực lượng thực thi pháp luật Hoa Kỳ, các sàn giao dịch và các nhóm điều tra an ninh mạng. Danh sách địa chỉ rộng lớn hơn này cải thiện khả năng phát hiện các nỗ lực chuyển tiền qua các kênh được quản lý. - Tuy nhiên, việc thu hồi vẫn chưa chắc chắn. Kẻ tấn công có thể chuyển tiền qua nhiều địa chỉ, mixer, nền tảng phi tập trung hoặc các jurisdiction nằm ngoài tầm với của Hoa Kỳ trước khi cố gắng rút tiền. Tóm lại: Kẻ tấn công lớn nhất được biết đến liên quan đến COLDCARD hiện đang giữ 1.159 BTC chưa từng di chuyển kể từ lần chuyển đầu tiên, khiến số bitcoin này luôn chịu sự giám sát công khai liên tục. Trong khi đó, hoạt động mixer gần đây của một thực thể khác đã tạo ra một dấu vết có thể theo dõi, mà các nhà điều tra sẽ theo dõi sát sao khi tình hình phát triển.