Le perdite legate alla vulnerabilità del wallet hardware ColdCard hanno raggiunto quasi 89 milioni di dollari, con gli attaccanti che hanno ampliato la campagna a 4.585 indirizzi Bitcoin attraverso tre ondate coordinate di furto, secondo Galaxy Research.

L'ultima operazione ha portato il totale rubato a 1.367 BTC, in aumento rispetto ai circa 1.083 BTC (70 milioni di dollari) segnalati appena un giorno prima.

L'attacco è emerso per la prima volta il 30 luglio, quando gli hacker hanno prosciugato circa 594 BTC da quasi 500 wallet in quello che inizialmente sembrava un incidente isolato. Entro poche ore, una seconda ondata sostanzialmente più grande ha compromesso più di 1.196 wallet, spingendo le perdite cumulative oltre i 70 milioni di dollari. Questa seconda ondata ha rivelato che l'exploit prende di mira i wallet creati con versioni vulnerabili del firmware ColdCard piuttosto che i dispositivi fisici stessi.

Una terza onda appena identificata indica che la campagna rimane attiva e in evoluzione. A differenza degli attacchi precedenti, che consolidavano i bitcoin rubati in un piccolo numero di wallet collettore, l'ultima operazione instrada i fondi di ogni vittima verso indirizzi di destinazione separati memorizzati in output pay-to-witness-script-hash (P2WSH). I ricercatori notano che questo approccio più sofisticato potrebbe complicare l'analisi della blockchain.

Secondo i ricercatori, l'exploit ha origine da una configurazione della build del firmware che ha portato i dispositivi ColdCard interessati a generare seed di wallet utilizzando valori hardware prevedibili invece del generatore di numeri casuali hardware dedicato del dispositivo. I wallet hardware dipendono dall'entropia di alta qualità di questi generatori per garantire che le chiavi private non possano essere indovinate o riprodotte da terze parti. Poiché ogni chiave privata Bitcoin viene derivata da quel seed, gli attaccanti in grado di ricrearlo possono derivare lo stesso wallet e prosciugare i fondi senza mai accedere fisicamente al dispositivo.

L'incidente si colloca tra i più grandi attacchi mai diretti contro l'autocustodia di Bitcoin attraverso la generazione di chiavi crittografiche, in contrasto con malware, phishing o violazioni di exchange. ColdCard, prodotta da Coinkite, è un wallet hardware ampiamente utilizzato tra gli utenti Bitcoin che praticano l'autocustodia — gestendo le proprie chiavi private anziché affidare i fondi agli exchange. L'exploit ha esposto un rischio distintivo nella catena di approvvigionamento: gli utenti che hanno mantenuto in modo sicuro wallet offline per anni sono rimasti vulnerabili se tali wallet sono stati originariamente creati utilizzando il firmware interessato, anche se il dispositivo è stato successivamente aggiornato.

Galaxy Research avverte che il numero crescente di indirizzi interessati suggerisce che gli attaccanti continuano a identificare nuovi wallet vulnerabili, il che significa che le perdite totali potrebbero aumentare ulteriormente man mano che seed deboli aggiuntivi vengono ricostruiti e sfruttati.