L'hack del Coldcard Wallet è entrato in una nuova fase: l'attaccante responsabile delle violazioni ha spostato circa il 45% dei Bitcoin rubati nella terza ondata di attacchi, secondo Galaxy Research (post).

Galaxy Research ha evidenziato che l'hacker continua a trasferire grandi quantità dei BTC rubati. Dopo aver in precedenza trasferito una parte dei fondi tramite THORChain e averli scambiati in ETH il 2 settembre, l'attaccante ora è ricorso alle CoinJoin per offuscare le tracce dei fondi rubati. CoinJoin è una tecnica di privacy che mescola le transazioni di un utente con quelle di altri partecipanti, rendendo notevolmente più difficile per gli analisti blockchain tracciare le singole monete — un ostacolo comune per investigatori ed exchange che tentano di congelare proventi illeciti.

Circa 97,09 BTC, dal valore stimato di 7,8 milioni di dollari, sono già stati spesi dai vault colpiti.

L'attaccante prende di mira prima i vault più grandi

Secondo Galaxy, l'hacker sembra svuotare i Bitcoin rubati in base alla dimensione di ciascun vault, partendo dai vault con più monete fino a quelli con meno. I vault da #1 a #11 sono già stati trasferiti dall'attaccante. I successivi 10 vault, ancora intatti, contengono circa 30,81 BTC, mentre i vault da #61 a #293 contengono in totale 33,77 BTC.

Solo una piccola parte del denaro rubato è stata trasferita ad altri wallet. Galaxy stima che l'82% dei Bitcoin rubati nel più ampio hack di Coldcard si trovi ancora nell'indirizzo originale controllato dall'hacker. Il fatto che la maggior parte dei fondi sia rimasta ferma è rilevante per vittime e osservatori: la concentrazione in un unico indirizzo mantiene il bottino tracciabile per ora, mentre tecniche di riciclaggio come gli swap cross-chain e il mixing erodono gradualmente quella visibilità.

Bug del firmware legato all'hack

L'hack del Coldcard Wallet è iniziato il 30 luglio ed è legato a una falla nel firmware fornito da Coinkite nel 2021. La vulnerabilità derivava da una limitazione nella casualità utilizzata dai dispositivi Coldcard nella generazione dei seed dei wallet, lasciando alcuni seed esposti ad attacchi brute-force. Di conseguenza, gli hacker sono stati in grado di ricavare le frasi seed private e prelevare Bitcoin da indirizzi a firma singola compromessi. I guasti nell'entropia dei seed rientrano tra le classi più gravi di difetti dei hardware wallet, perché compromettono la funzione centrale del dispositivo — generare chiavi che solo il proprietario dovrebbe conoscere — e gli utenti colpiti non avevano un modo semplice per rilevare che i loro seed erano più deboli del previsto.

A metà agosto, Galaxy Research aveva stimato che circa 1.779 BTC erano stati rubati a circa 190 vittime attraverso più di 8.600 indirizzi.

Le perdite potrebbero raggiungere 143,9 milioni di dollari

Il danno totale dell'hack di Coldcard potrebbe superare le aspettative precedenti. Galaxy ha indicato che l'hacker ha co-speso fondi da un vault aggiuntivo contenente 58 indirizzi appartenenti a vittime di Coldcard, il che porterebbe il numero di monete perse a 1.806 BTC. Ai tassi attuali, i Bitcoin perduti valgono circa 143,9 milioni di dollari.

Galaxy ha inoltre sollevato la possibilità di un'altra serie di attacchi informatici correlati, definita "Wave 4", anche se l'azienda non ha confermato l'esistenza di una quarta ondata. Che si materializzino ulteriori ondate e se gli exchange o le società di chain analytics riusciranno a segnalare i fondi mescolati, determinerà quanta parte dei Bitcoin rubati potrà infine essere tracciata o recuperata.

Il continuo movimento dei Bitcoin rubati indica che l'attacco a Coldcard è ancora attivo, con l'hacker che impiega tattiche come swap cross-chain e CoinJoin per offuscare le tracce.

Correlato: Galaxy Research: l'exploit di Coldcard si attenua mentre le perdite totali salgono ad almeno 1.700 BTC