Il Bitcoin rubato nella terza grande ondata di attacchi a Coldcard ha cominciato a muoversi per la prima volta dagli indirizzi originali dell'attaccante, con una parte dei fondi convertita in Ether tramite THORChain, secondo il tracciamento on-chain condiviso da intangiblecoins su X.

Circa 4,2 BTC sono stati scambiati in circa 135 ETH mentre l'attaccante testava più percorsi attraverso il protocollo di liquidità cross-chain. THORChain è un protocollo senza permessi che consente scambi di asset nativi tra blockchain diverse senza token wrapped né custodi centralizzati, un design che in passato lo ha reso un luogo ricorrente per il trasferimento di cripto-attività illecite, poiché gli utenti non passano attraverso un intermediario regolamentato con controlli di identità. Diversi tentativi di swap sono stati rimborsati prima di essere ritentati, e le ETH risultanti sono state tracciate fino a un indirizzo Ethereum di nuova creazione.

I fondi della Wave 3 lasciano gli indirizzi originali

Il movimento segna la prima attività in uscita confermata dagli indirizzi di consolidamento originali legati alle Wave 1, 2 o 3 di Coldcard.

La Wave 3 aveva inizialmente sottratto 207,7294 BTC da portafogli vulnerabili all'inizio di agosto, utilizzando una struttura di transazione distinta dalle prime due grandi ondate di attacchi.

La maggior parte di quel Bitcoin della Wave 3 rimane ferma. Le ultime transazioni rappresentano invece un primo tentativo di convertire parte del BTC rubato in asset che possono muoversi su Ethereum e su altre infrastrutture blockchain più facilmente rispetto al Bitcoin nativo, la cui rete non dispone di un livello nativo di smart contract che permetta trasferimenti o scambi altrettanto flessibili in autonomia.

L'indirizzo Ethereum di destinazione e i relativi percorsi di transazione sono stati condivisi con gli exchange, le società di compliance e gli investigatori delle forze dell'ordine, mentre continuano gli sforzi per individuare potenziali punti di uscita. Una volta che i fondi esistono come ETH, possono essere instradati attraverso exchange decentralizzati, bridge e servizi di mixing nell'ecosistema Ethereum, aumentando il numero di percorsi che gli investigatori devono monitorare rispetto al tracciamento di output Bitcoin statici.

Il furto Coldcard ha raggiunto almeno 1.778 BTC

La compromissione più ampia di Coldcard derivava da una generazione debole dei seed introdotta da un firmware difettoso risalente a marzo 2021. Un guasto nella generazione di numeri casuali poteva lasciare alcuni portafogli con un'entropia delle chiavi private drasticamente più debole, consentendo ad attaccanti con risorse di calcolo sufficienti di ricostruire da remoto i seed interessati.

Almeno 1.778,84 BTC sono stati confermati come rubati da oltre 8.600 indirizzi entro metà agosto, secondo la ricerca di Galaxy. Ulteriori cluster a minore affidabilità potrebbero spingere il totale finale considerevolmente più in alto.

Movimenti erano già avvenuti da impronte di attaccanti più piccole al di fuori delle tre ondate principali, inclusi fondi instradati attraverso transazioni CoinJoin, peel chain, bridge e servizi centralizzati. La nuova attività su THORChain è significativa perché i portafogli originali legati alle tre più grandi ondate di attacco identificate erano rimasti intatti dopo aver ricevuto il BTC rubato.

L'aggiornamento firmware non può riparare i seed esistenti

Coinkite ha rilasciato ad agosto un firmware di sicurezza Coldcard aggiornato che richiede ulteriore casualità fornita dall'utente durante la generazione di nuovi seed di portafoglio.

L'aggiornamento dell'hardware interessato non rende sicuro un seed vulnerabile esistente. Il Bitcoin detenuto con seed generati su firmware interessato deve essere trasferito in un nuovo portafoglio creato con software corretto e sufficiente entropia fresca.

La maggior parte del Bitcoin associato agli indirizzi originali della Wave 3 è rimasta ferma dopo i primi swap su THORChain, mentre gli investigatori continuano a tracciare le ETH appena ricevute e qualsiasi trasferimento successivo dall'indirizzo di destinazione. L'eventuale prosecuzione delle conversioni dalle somme della Wave 3 ancora ferme, e la possibilità che gli exchange segnalino depositi legati all'indirizzo di destinazione, definiranno la fase successiva del lavoro di tracciamento.