Il furto Coldcard sale a $88M in tre ondate mentre aumentano gli afflussi sugli exchange e si muove BTC inattivo

Tre sweep sospetti sottraggono fondi da 4,585 indirizzi

Galaxy Research ha dichiarato su X che tre presunte ondate di furto hanno svuotato circa 4,585 indirizzi e sottratto bitcoin per un valore di circa $88.6 milioni al momento dell'analisi. Il gruppo di ricerca ha precisato che i risultati sono preliminari e basati esclusivamente su dati pubblicamente disponibili della blockchain di Bitcoin. Un altro pannello di monitoraggio, Coldcard Sweep Watch, colloca il totale a 1,158.8480 BTC alle 5 p.m. EDT di sabato.

La più grande delle tre ondate è arrivata per prima. Il 30 luglio, secondo i ricercatori di Galaxy, un attaccante ha sottratto 1,082.65 BTC da 1,195 indirizzi in soli 41 minuti. Una seconda operazione, il giorno successivo, ha raccolto 76.16 BTC da 1,478 indirizzi. La terza ondata, estesa dal 31 luglio al 1 agosto, ha drenato circa 208 BTC da 1,912 indirizzi.

La terza ondata rompe lo schema e solleva dubbi sull'identità dell'attaccante

La terza operazione si è discostata metodologicamente dalle prime due. Le ondate 1 e 2 hanno convogliato i fondi sottratti attraverso un piccolo numero di indirizzi di raccolta e di conservazione. La terza ondata, invece, ha distribuito i bitcoin delle vittime in 293 vault P2WSH separati, un tipo di indirizzo native SegWit che nasconde le condizioni di spesa fino a quando le monete non vengono spostate.

Galaxy ha osservato che la struttura frammentata dei vault rende notevolmente più difficile per gli osservatori esterni raggruppare e tracciare i fondi. Il cambiamento potrebbe indicare che l'attaccante originale abbia ristrutturato l'operazione dopo che i primi sweep sono diventati di dominio pubblico. In alternativa, una parte diversa potrebbe aver individuato e sfruttato in modo indipendente lo stesso insieme di indirizzi vulnerabili. I soli registri blockchain non consentono di stabilire quale scenario sia corretto.

La vulnerabilità è riconducibile a un rilascio del firmware Coldcard del 2021

Galaxy ha collegato gli indirizzi compromessi a una versione vulnerabile del firmware Coinkite Coldcard distribuita il 17 marzo 2021. In modo significativo, nessuna delle monete interessate precede quel rilascio del firmware. L'indirizzo mediano della vittima era rimasto inattivo per circa 3.5 anni, coerentemente con i modelli d'uso tipici del cold storage a lungo termine.

Coldcard è un hardware wallet dedicato a Bitcoin prodotto da Coinkite e promosso per il suo modello di sicurezza air-gapped, in cui le chiavi private non dovrebbero mai entrare in contatto con un dispositivo connesso a internet. L'incidente evidenzia che anche i wallet progettati per la conservazione offline delle chiavi possono contenere vulnerabilità sfruttabili introdotte tramite il firmware, una questione che riguarda l'intero settore degli hardware wallet, dove la sicurezza del dispositivo dipende in larga misura dall'integrità del software in esecuzione sul dispositivo stesso.

Gli afflussi sugli exchange registrano un picco il 31 luglio

Mentre i ricercatori mappavano i furti sospetti, gli exchange centralizzati di criptovalute hanno registrato un forte aumento dei depositi in bitcoin il 31 luglio. I dati condivisi da Sani di Timechainindex.com hanno mostrato afflussi netti sugli exchange pari a 11,163 BTC nella giornata.

River ha ricevuto circa 3,679 BTC, seguita da Binance con 3,224 BTC, Kraken con 2,848 BTC e OKX con 1,291 BTC. Complessivamente, le entità centralizzate hanno ricevuto 15,205 BTC da indirizzi non identificati in un solo giorno, aumentando in modo sostanziale le loro disponibilità riportate.

I forti afflussi sugli exchange attirano spesso attenzione perché le monete depositate sulle piattaforme di trading possono essere destinate alla vendita, usate come garanzia o trasferite per esigenze di custodia interna. I dati non dimostrano che i depositi del 31 luglio provenissero da utenti Coldcard, dall'attaccante o da chiunque stesse reagendo direttamente all'incidente.

Resta comunque notevole il tempismo. Un allarme di sicurezza può certamente spingere i detentori a riorganizzare la custodia, spostare monete sugli exchange o abbandonare configurazioni di wallet di cui non si fidano più. Può anche coincidere con trasferimenti istituzionali non correlati, depositi dei clienti e operazioni contabili degli exchange, rendendo il picco degli afflussi importante ma non conclusivo.

Molto BTC dormiente inizia a muoversi

Un terzo sviluppo è emerso quando un ampio gruppo di indirizzi creati tra il 2010 e il 2017 ha iniziato a spostare monete dopo nove fino a 16 anni di inattività, secondo le statistiche raccolte da Bitcoin.com News da btcparser.com. Le transazioni visibili dal 30 luglio al 1 agosto hanno totalizzato circa 306 BTC, inclusi trasferimenti ripetuti di 10 BTC e 30 BTC.

Un indirizzo creato il 2 luglio 2010 ha spostato una vecchia coinbase transaction di oltre 50 BTC. Altre transazioni includevano 37.8 BTC da un indirizzo del 2014 e un gruppo coordinato di trasferimenti da tre wallet creati il 29 luglio 2017. Quei tre wallet hanno spostato 37.5 BTC e due importi separati da 30 BTC nello stesso blocco.

L'attività dormiente non può essere collegata agli sweep Coldcard sulla base dei dati disponibili. In effetti, Galaxy Research ha spiegato che le monete delle presunte vittime sono state tutte create dopo il rilascio del firmware vulnerabile nel 2021, mentre molti dei wallet dormienti appena riattivati detenevano bitcoin da anni prima ancora che Coldcard esistesse.

Tuttavia, proprio come per l'attività sugli exchange segnalata da Sani, i detentori di bitcoin ( $BTC ) rimasti inattivi a lungo potrebbero mettere in discussione le proprie misure di sicurezza e spostare i fondi verso alternative, inclusi servizi di custodia.

Per quanto riguarda ciò che si sa, Galaxy Research ha comunicato di monitorare sette indirizzi di conservazione delle prime due ondate e 293 vault della terza. La prima spesa da uno di quei vault potrebbe esporne gli script e rivelare se le stesse chiavi di firma o la stessa struttura di spesa compaiono su più indirizzi.

Al momento della pubblicazione, il sentiment online rimaneva profondamente ribassista, con $BTC scambiato sotto $63,000 a $62,326 per coin.