Galaxy Research ha confermato che 1,719 BTC, del valore di circa 111 milioni di dollari, sono stati rubati nell'exploit del portafoglio hardware Coldcard. Coldcard è prodotto da Coinkite ed è uno dei portafogli hardware solo per Bitcoin più diffusi, progettato per mantenere le chiavi private in cold storage isolato, lontano da dispositivi connessi a internet. L'azienda stima che le perdite totali potrebbero superare i 130 milioni di dollari, mentre i ricercatori continuano a esaminare ulteriori coin sospette.

Alex Thorn, Head of Firmwide Research di Galaxy, ha ricevuto segnalazioni di perdite da oltre 250 vittime. Le coin in fase di verifica ancora da esaminare potrebbero spingere le perdite confermate oltre i 2,300 BTC.

Perdite confermate e profilo statistico

Galaxy ha dichiarato di classificare le coin come confermate solo dopo aver raggiunto un'elevata confidenza, in genere attraverso segnalazioni multiple da parte delle vittime. Il totale confermato attuale ammonta a 1,719 BTC.

Secondo i dati di Thorn, le perdite individuali vanno da 624 satoshi a 58.97 BTC. Misurate per indirizzo, la perdita mediana è di 0.014 BTC e la media di 0.212 BTC. Misurate per vittima segnalata, la perdita mediana raggiunge 1.022 BTC, con una media di 4.04 BTC.

I Bitcoin più datati dominano i fondi rubati

Le coin rubate presentano un distinto pattern di anzianità. La dormienza mediana è di 3.5 anni e l'88% delle coin rubate aveva almeno un anno di vita. Galaxy ha riferito che nessuna coin rubata ha avuto origine on-chain prima del 17 marzo 2021, una data che coincide con il rilascio del firmware Coldcard interessato. La concentrazione dei furti tra le coin detenute a lungo significa che gli utenti che hanno mantenuto configurazioni di cold storage che ritenevano sicure per anni sono stati comunque colpiti, un pattern che sottolinea la gravità di una compromissione a livello di firmware in una categoria di dispositivi la cui proposta di valore principale è l'isolamento delle chiavi.

I modelli hardware interessati sono Coldcard Mk3, Mk4, Mk5 e Q. I ricercatori hanno dichiarato che attualmente non ci sono prove che implichino altri dispositivi di firma o portafogli.

Molteplici attori malevoli e ondate di attacco

L'indagine ha identificato più di 25 distinti pattern di attacco tra le Ondate 1, 2 e 3, indicando il coinvolgimento di molteplici attori malevoli.

Galaxy ha descritto il profilo delle vittime in tutte e tre le ondate come prevalentemente normali detentori di Bitcoin piuttosto che grandi investitori, affermando che le vittime sono "per lo più non whale". La distribuzione delle perdite, che va da frazioni di Bitcoin a quasi 59 BTC per indirizzo, riflette il fatto che l'exploit ha colpito detentori lungo un'ampia gamma di dimensioni di portafoglio, piuttosto che prendere di mira una fascia specifica.

Il team di ricerca continua a esaminare le segnalazioni delle vittime e a verificare ulteriori coin candidate prima di aggiungerle all'insieme confermato. Galaxy ha rilevato che le coin ancora in fase di esame potrebbero portare le perdite confermate oltre i 2,300 BTC con il progredire dell'indagine.