Investigadores white hat transfirieron 52.37 BTC vinculados al exploit de la billetera Coldcard a un fideicomiso de recuperación, un movimiento destinado a asegurar los fondos antes de que los atacantes puedan reclamarlos. La transacción fue confirmada en el bloque 967,948 de Bitcoin.

La transferencia marca el paso más reciente en el esfuerzo continuo por asegurar fondos vinculados al incidente de Coldcard de julio. El exploit afectó a billeteras cuya generación de semillas dependía de una aleatoriedad más débil, una debilidad que permitió a los atacantes reconstruir ciertas semillas y vaciar los saldos expuestos.

Los 52.37 BTC recién asegurados combinan fondos de la Wave 2 y de clústeres de direcciones identificados como Footprints AA, AU y AX. Estas etiquetas reflejan una técnica común de investigación on-chain, en la que direcciones relacionadas se agrupan en clústeres con nombre para poder seguir el movimiento de los fondos rastreados a través del libro mayor público. El monto representa aproximadamente el 2.8% del total de fondos rastreados en relación con el exploit.

Siguiendo el Bitcoin recuperado

La dirección receptora incluía un mensaje OP_RETURN que dirigía a los usuarios afectados hacia el fideicomiso de recuperación. OP_RETURN es un tipo de salida de transacción de Bitcoin que permite incrustar un breve texto visible para cualquiera que inspeccione la cadena, y así fue como las instrucciones del fideicomiso se hicieron visibles para los usuarios afectados. La estructura está diseñada para mantener los activos recuperados separados mientras los reclamos de propiedad son verificados.

Los investigadores también observaron actividad adicional alrededor de la misma dirección de recuperación. Otros 3.0134 BTC ingresaron a la dirección sin ningún historial de rastreo previo. Los analistas han descrito esas monedas como potencialmente conectadas con el esfuerzo de recuperación de Coldcard, aunque su origen sigue sin confirmarse. La incertidumbre recuerda que un libro mayor público muestra dónde se mueven las monedas, pero no quién las movió, y la atribución generalmente se basa en el mismo tipo de evidencia de agrupación que está detrás de las etiquetas Footprints.

Cerca del 40% de los fondos rastreados de la Wave 2 han sido identificados como actividad white hat. Esta distinción importa porque los investigadores movieron estas monedas para protegerlas y no para robarlas, y la parte restante de los fondos de la Wave 2 aún no ha sido clasificada en categorías confirmadas.

Persisten las preguntas sobre la distribución

La recuperación no significa automáticamente que los usuarios afectados reciban su Bitcoin de inmediato. El fideicomiso primero debe establecer qué direcciones califican y determinar cómo deben distribuirse los fondos recuperados.

El incidente también destaca el riesgo continuo al que se enfrentan las billeteras creadas con procesos vulnerables de generación de semillas. Si bien una actualización de firmware puede correg la falla de software subyacente, no puede cambiar retroactivamente una semilla que ya fue generada con una aleatoriedad débil.

Los 52.37 BTC que ahora están en fideicomiso constituyen, por lo tanto, un fondo concreto para una posible restitución, mientras que las preguntas sobre verificación, propiedad y distribución final siguen siendo centrales en el proceso de recuperación. Cómo se desarrollen las próximas etapas, incluida una mayor identificación de la actividad de la Wave 2 y claridad sobre los 3.0134 BTC no atribuidos, determinará lo que los usuarios afectados podrán eventually recuperar.