Galaxy Research ha individuato una seconda ondata di furti di Bitcoin legati a una vulnerabilità del portafoglio Coldcard, portando le perdite totali a 1.158,81 BTC — circa 75,1 milioni di dollari. Coldcard, un portafoglio hardware dedicato esclusivamente a Bitcoin prodotto da Coinkite, è ampiamente utilizzato tra i sostenitori dell'autocustodia per il suo design con sicurezza air-gapped. I due attacchi coordinati hanno colpito 2.673 indirizzi tra il 30 e il 31 luglio, e tutti i fondi rubati rimangono intatti su sette portafogli controllati dagli attaccanti. I ricercatori hanno avvertito che ulteriori attacchi sono ancora possibili.

La seconda ondata amplia la portata dell'attacco

Il primo attacco ha prosciugato 1.082,65 BTC da 1.195 indirizzi in soli 41 minuti il 30 luglio. Circa 27 ore dopo, una seconda operazione ha sottratto ulteriori 76,16 BTC da 1.478 indirizzi distinti in un arco di tre ore e 42 minuti.

Galaxy Research ha segnalato che i due gruppi di vittime non condividevano alcun indirizzo in comune. Sebbene la seconda ondata abbia raggiunto un numero maggiore di portafogli, ha preso di mira saldi considerevolmente inferiori rispetto alla campagna iniziale.

I due attacchi hanno inoltre mostrato pattern distinti nelle commissioni di transazione. La prima ondata ha utilizzato costantemente commissioni di 30 sat/vbyte, mentre la seconda ha impiegato prevalentemente 10 e 50 sat/vbyte, con diverse transazioni minori a circa quattro sat/vbyte.

I ricercatori monitorano i Bitcoin rubati

Secondo Galaxy Research, tutti i 1.158,66 BTC rimangono non spesi su sette indirizzi controllati dagli attaccanti. I ricercatori hanno descritto la mancanza di movimentazioni come insolita per un furto di questa entità, osservando che qualsiasi trasferimento verso exchange o servizi di mixing costituirebbe il prossimo sviluppo significativo.

L'azienda ha inoltre riferito che gli ingegneri di Block potrebbero aver scoperto informazioni identificative collegate al presunto attaccante.

Galaxy Research ha spiegato che la propria metodologia di tracciamento si basa su impronte transazionali piuttosto che sulla vulnerabilità sottostante. I ricercatori hanno avvertito che futuri attaccanti potrebbero eludere simili rilevamenti modificando le commissioni di transazione, aggiungendo output di resto, utilizzando indirizzi di destinazione separati o distribuendo i trasferimenti su periodi prolungati.

Gli avvisi di sicurezza persistono

Galaxy Research ha invitato tutti gli utenti con portafogli a firma singola generati tramite Coldcard interessati dalla vulnerabilità a trasferire immediatamente i propri fondi su portafogli appena generati. Gli utenti multifirma, tuttavia, rimangono protetti purché i dispositivi Coldcard da soli non siano sufficienti ad autorizzare le transazioni.

Alex Thorn, Head of Research di Galaxy, ha riferito che un hacker ha convertito una parte dei Bitcoin rubati a una vittima in Ether tramite THORChain, per poi depositare circa 229,72 ETH su Duel Casino. Thorn ha precisato che la vittima e un ricercatore hanno richiesto un blocco, ma la piattaforma ha consigliato loro di contattare le forze dell'ordine.

Separatamente, il fondatore di Binance Changpeng Zhao, comunemente noto come CZ, ha affermato che gli aggiornamenti firmware non possono proteggere i portafogli di autocustodia generati in precedenza. Ha sottolineato che gli utenti devono spostare personalmente i fondi interessati, poiché gli sviluppatori non sono in grado di accedere ai dispositivi air-gapped o modificare i seed dei portafogli esistenti. L'incidente evidenzia una sfida più ampia nella sicurezza dei portafogli hardware: sebbene dispositivi come Coldcard siano progettati per mantenere le chiavi private offline, le vulnerabilità introdotte durante la generazione del seed del portafoglio possono passare inosservate fino a quando non vengono sfruttate, lasciando gli utenti affidati alla tempestiva divulgazione e alla migrazione verso configurazioni non interessate.