Galaxy Research ha confirmado que 1,719 BTC, valorados en aproximadamente $111 millones, fueron robados en el exploit de la billetera hardware Coldcard. Coldcard es fabricada por Coinkite y se encuentra entre las billeteras hardware exclusivas de Bitcoin más utilizadas, diseñadas para mantener las claves privadas en almacenamiento en frío aislado, lejos de dispositivos conectados a internet. La firma estima que las pérdidas totales probablemente superen los $130 millones a medida que los investigadores continúan verificando monedas sospechosas adicionales.

Alex Thorn, director de investigación de toda la firma de Galaxy, ha recibido informes de pérdidas de más de 250 víctimas. Los candidatos pendientes en revisión podrían elevar las pérdidas confirmadas por encima de los 2,300 BTC.

Pérdidas confirmadas y perfil estadístico

Galaxy afirmó que solo clasifica las monedas como confirmadas después de establecer un alto nivel de confianza, generalmente mediante múltiples informes de víctimas. El total confirmado actual se sitúa en 1,719 BTC.

Según los datos de Thorn, las pérdidas individuales van desde 624 satoshis hasta 58.97 BTC. Medidas por dirección, la pérdida mediana es de 0.014 BTC y la media es de 0.212 BTC. Medidas por víctima reportada, la pérdida mediana alcanza 1.022 BTC, con una media de 4.04 BTC.

El Bitcoin más antiguo domina los fondos robados

Las monedas robadas muestran un patrón de edad distintivo. La antigüedad mediana es de 3.5 años, y el 88% de las monedas robadas tenían al menos un año de antigüedad. Galaxy informó que ninguna moneda robada se originó en la cadena antes del 17 de marzo de 2021, una fecha que coincide con el lanzamiento del firmware afectado de Coldcard. La concentración del robo entre monedas mantenidas durante mucho tiempo significa que los usuarios que mantuvieron configuraciones de almacenamiento en frío que creían seguras durante varios años resultaron afectados de todos modos, un patrón que subraya la gravedad de una vulnerabilidad a nivel de firmware en una categoría de dispositivos cuya principal propuesta de valor es el aislamiento de claves.

Los modelos de hardware afectados son Coldcard Mk3, Mk4, Mk5 y Q. Los investigadores señalaron que actualmente no existe evidencia que implique a otros dispositivos de firma o billeteras.

Múltiples actores de amenazas y oleadas de ataque

La investigación ha identificado más de 25 patrones de ataque distintos en las Oleadas 1, 2 y 3, lo que indica la participación de múltiples actores de amenazas.

Galaxy describió el perfil de las víctimas en las tres oleadas como predominantemente titulares cotidianos de Bitcoin en lugar de inversores a gran escala, afirmando que las víctimas son "principalmente no ballenas." La distribución de pérdidas — que va desde fracciones de un bitcoin hasta casi 59 BTC por dirección — refleja que el exploit afectó a titulares en un amplio espectro de tamaños de billetera en lugar de dirigirse a un nivel específico.

El equipo de investigación continúa revisando las presentaciones de las víctimas y verificando monedas candidatas adicionales antes de añadirlas al conjunto confirmado. Galaxy señaló que los candidatos pendientes podrían elevar las pérdidas confirmadas por encima de los 2,300 BTC a medida que avance la investigación.