Galaxy Researchは、Coldcard Bitcoinウォレットのハッキングによる被害が1億ドルを超えたことを確認し、研究者らは約7,300のアドレスに分散する1,596 BTCの盗難ビットコインを特定しました。Coinkiteが製造するハードウェアウォレット「Coldcard」は、Bitcoin保有者がプライベートキーをオフラインでコールドストレージ保存するために広く使用されており、一般的によりセキュアなセルフカストディ構成の一つとされています。このため、今回の侵害の規模はハードウェアウォレットエコシステムにとって特に注目すべき事態となっています。

研究チームはX（出典）で包括的なスレッドとして調査結果を詳述し、窃盗に関与する3つの確認済み攻撃波を特定しました。疑わしい第4波が確認されれば、推定総被害額は約2,055 BTC（約1億3,000万ドル相当）に上昇する可能性があります。

3つの確認済み攻撃波

Galaxy Researchによると、Blockのエンジニアが最初に第1波を検出しました。チームはその後、被害ユーザーから提出された報告を通じてこのインシデントを裏付けました。被害者からの報告は、第2波および第3波の発見にも重要な役割を果たしました。

追加のユーザーがウォレットのアクティビティを確認するにつれて、新たな報告も継続的に届いています。大半の被害者は単一の攻撃波のみに巻き込まれましたが、研究者は一部のアドレスが2つの異なる波で侵害されたことを指摘しています。

3つの主要な攻撃に加えて、報告書では14件の小規模なインシデントも特定されました。Galaxy Researchは、これらの事案には同じ既知の脆弱性を悪用する異なる攻撃者が関与している可能性があると示唆しました。調整された複数波にわたる攻撃パターンは、ハードウェアウォレットのセキュリティにおけるより広範な課題を浮き彫りにしています。脆弱性が発見されると、ユーザーがパッチ適用済みファームウェアや新しいシードフレーズに移行する前に、複数の脅威アクターが独立してそれを悪用する可能性があります。

進行中の追跡活動と疑わしい第4波

Galaxy Researchは、73人の被害者が盗難資金の追跡支援を求めてAlex Thornに連絡を取ったと報告しました。これらの報告により、調査担当者は追加の攻撃者および被害者のアドレスを特定できました。

チームは疑わしい第4波も特定しましたが、被害者による確認がまだ得られていないため、確認済みの合計には含めていません。研究者らは、該当するアクティビティが攻撃者に属するという確度は中程度から高いとしています。

盗まれたビットコインの大半は未移動

Galaxy Researchによると、盗まれたビットコインの約90%はオンチェーンで移動していません。第1波、第2波、第3波で盗まれたすべてのコインは手つかずのままです。この移動の欠如は、過去の大規模な暗号資産窃盗で見られたパターンと一致しています。攻撃者は資金を休眠状態で保持し、資金洗浄や換金を試みる前に、時として長期間にわたり保有することがよくあります。

同社は、確認済みの攻撃者および被害者のアドレスを米連邦法執行機関、暗号資産取引所、コンプライアンス企業、サイバー調査グループ、その他の関連組織と共有しました。

研究者らは、ウォレットのセキュリティに不安が残るColdcardユーザーに対して、資金を新しいシード、またはカストディアンや取引所に移すよう助言しました。また、継続中の追跡活動を支援するため、被害者に対して空にされたウォレットアドレスと攻撃者のトランザクションIDを添えてAlex Thornに連絡するよう呼びかけました。