Galaxy Research mở rộng ước tính tổn thất bitcoin của Coldcard lên 70 triệu USD

Galaxy Research, đơn vị nghiên cứu của Galaxy Digital, đã mở rộng phạm vi phân tích trên chuỗi của sự cố ví Coldcard sau khi xác định được 1.196 địa chỉ Bitcoin bị ảnh hưởng. Trong khoảng thời gian 41 phút, những địa chỉ này đã mất tổng cộng 1.082,65 BTC—tương đương khoảng 70,2 triệu USD tại thời điểm các giao dịch diễn ra.

Các phát hiện mới đẩy các ước tính trước đó xa hơn, giúp làm rõ những gì kẻ tấn công có thể đã thực thi ngay sau khi các ví dễ bị tổn thương tạo ra seed. Việc theo dõi của Galaxy Research bao gồm các chuyển động từ 1:10 sáng đến 1:51 sáng UTC ngày 30 tháng 7, trong các khối từ 960.183 đến 960.191, khoảng 30 giờ trước khi Coldcard công bố cảnh báo bảo mật đầu tiên của mình.

• Galaxy Research đã xác định được 1.196 địa chỉ liên quan đến sự cố Coldcard và xác định khoản tổn thất 1.082,65 BTC trong khoảng thời gian 41 phút.
• Hoạt động được xác định xảy ra giữa 1:10 sáng và 1:51 sáng UTC ngày 30 tháng 7, trong các khối 960.183–960.191, khoảng 30 giờ trước khi Coldcard đưa ra cảnh báo đầu tiên.
• Các ước tính trước đó của CEO AnchorWatch Rob Hamilton thấp hơn, chỉ ra 594,48 BTC đã di chuyển qua một khung ba khối hẹp hơn.
• Galaxy Research cho biết các giao dịch có cùng một mẫu đặc trưng trên chuỗi—phí 30 satoshis mỗi virtual byte và không có đầu ra thay đổi—but future sweeps may differ.

Galaxy Research cho biết họ đã xác định được các chuyển động Bitcoin liên quan đến sự cố đến một đợt hoạt động mạnh vào ngày 30 tháng Bảy. Nỗ lực nghiên cứu tập trung vào các địa chỉ liên quan đến việc bị xâm phạm ví Coldcard, mà các khoản tiền đã được chuyển đi giữa 1:10 sáng và 1:51 sáng UTC.

Theo Galaxy Research, các tổn thất tích lũy trong một khoảng thời gian ngắn gồm các khối từ 960.183 đến 960.191 cho thấy cuộc tấn công có khả năng được thực hiện tự động với cấu trúc giao dịch lặp lại, thay vì các chuyển động thủ công ngẫu nhiên. Vào thời điểm các khoản chuyển đi xảy ra, số lượng 1.082,65 BTC có giá trị khoảng 70,2 triệu USD.

Thời gian cũng đáng chú ý: khoảng thời gian theo dõi của Galaxy Research bắt đầu khoảng một ngày trước khi Coldcard ban hành cảnh báo bảo mật đầu tiên công khai, cho thấy số tiền bị xâm phạm đã được chuyển đi sớm và chu kỳ phản ứng đã chậm hơn so với đợt chuyển tiền ban đầu.

Trong phân tích theo sau, Galaxy Research cho biết các giao dịch được xác định có cùng một chữ ký. Công ty báo cáo rằng các khoản thu sử dụng phí giống nhau là 30 satoshis mỗi byte ảo và các giao dịch không chứa đầu ra thay đổi.

Những đặc điểm này hữu ích cho các nhà điều tra vì chúng cung cấp dấu vân tay trên chuỗi để nhóm các hoạt động liên quan đến ví, giúp giảm khả năng gán nhầm các khoản chuyển không liên quan. Galaxy Research cũng cảnh báo rằng mặc dù hoạt động tấn công ban đầu có thể xác định được thông qua mẫu này, nhưng các cuộc tấn công sau này vào các địa chỉ do Coldcard tạo ra có thể không giữ nguyên dấu vân tay tương tự.

Đối với người dùng và chuyên gia phân tích, sự phân biệt này rất quan trọng: nó ngụ ý rằng tổng số sự cố dựa solely trên một cấu trúc giao dịch dễ nhận biết có thể thấp hơn thực tế nếu các vòng hoạt động sau đó khác biệt về thiết lập phí hoặc hành vi đầu ra.

Trước khi Galaxy Research thực hiện bản đồ tổng thể, phân tích sơ bộ trước đó của Rob Hamilton, CEO và đồng sáng lập AnchorWatch ước tính rằng 594,48 BTC—khoảng 38 triệu USD vào thời điểm đó—đã được chuyển qua 500 giao dịch trong một khung ba khối.

Các con số của Hamilton được lấy từ một phân khúc hoạt động trên chuỗi hẹp hơn, phản ánh cách các sự kiện ví di chuyển nhanh thường vượt trước các cuộc điều tra ban đầu. Tập hợp mở rộng của Galaxy Research hiệu quả cập nhật bức tranh bằng cách mở rộng cả tập hợp địa chỉ và khoảng thời gian được truy vết xung quanh sự bùng nổ ngày 30 tháng Bảy, gần như gấp đôi tổng số BTC được gán cho hoạt động quét.

Sự khác biệt giữa các ước tính làm nổi bật một thách thức phổ biến trong phản ứng sự cố đối với các hệ thống tự lưu trữ: việc xác định phạm vi đầy đủ có thể đòi hỏi nhiều ngày để truy vết, phân cụm và xác minh—đặc biệt khi kẻ tấn công tái sử dụng logic tương tự qua nhiều giao dịch và điểm đến khác nhau.

Nhà sản xuất Coldcard, Coinkite, đã nhận trách nhiệm về vấn đề cốt lõi. Trong một bài đăng trên X vào thứ Sáu, đồng sáng lập Coinkite Rodolfo Novak cho biết công ty đang nỗ lực xác định toàn bộ phạm vi của vấn đề và xác nhận rằng họ đã phát hành bản vá nóng nhằm loại bỏ đường dẫn phần mềm dự phòng.

Novak cũng nhấn mạnh một hạn chế của biện pháp khắc phục: bản cập nhật không bảo vệ các cụm từ hạt giống được tạo trên phần mềm bị ảnh hưởng. Về mặt thực tế, người dùng đã tạo cụm từ hạt giống trong thời gian bị ảnh hưởng được khuyến nghị chuyển tiền sang một cụm từ hạt giống mới.

Hướng dẫn này phù hợp với rủi ro cốt lõi trong các vụ xâm phạm dựa trên seed—nếu một lỗ hổng ảnh hưởng đến cách vật liệu seed hoặc các đường dẫn thực thi liên quan hoạt động, thì việc chỉ cập nhật firmware có thể không bảo vệ được các khóa đã được tạo trước đó. Hệ quả vận hành ngay lập tức đối với những người sở hữu bị ảnh hưởng là việc khôi phục yêu cầu một chuyển đến vật liệu khóa an toàn hơn, chứ không chỉ đơn thuần là cập nhật thiết bị.

Việc Galaxy Research xác định một mẫu quét trên chuỗi phổ biến cung cấp cơ sở có hệ thống hơn để theo dõi các hoạt động liên quan, nhưng cảnh báo của công ty rằng các cuộc tấn công trong tương lai có thể không trùng với dấu vân tay giống nhau cho thấy sự việc vẫn có thể tiếp tục phát triển theo cách nó xuất hiện trên chuỗi. Người dùng lo ngại về việc liệu họ có đã tạo seed bằng phần mềm lỗi thời hay không nên tập trung vào việc chuyển số dư còn lại sang các seed được tạo mới và tiếp tục theo dõi bất kỳ chuyển động dư thừa nào liên quan đến các địa chỉ được kết nối với logic quét.

Bài viết này ban đầu được xuất bản dưới tiêu đề Coldcard Bitcoin Loss Estimate Up to $70M After Galaxy Review trên Crypto Breaking News – nguồn cung cấp tin tức tiền điện tử, tin tức bitcoin và cập nhật blockchain đáng tin cậy của bạn.