Coldcardへの3度目の大規模攻撃波で盗まれたビットコインが、攻撃者の元のアドレスから初めて移動を開始し、その一部がTHORChainを通じてイーサリアム(ETH)に換金された。これはX上のintangiblecoinsが共有したオンチェーン追跡によるもの。

攻撃者はクロスチェーン流動性プロトコルの複数の経路を試行しながら、約4.2 BTCを概ね135 ETHに交換した。THORChainはラップドトークンや中央集権的な管理者を介さず、異なるブロックチェーン間でネイティブ資産のスワップを可能にするパーミッションレス型プロトコルであり、規制された仲介業者の本人確認を経ないため、不正取得された暗号資産の移動に繰り返し利用されてきた。数回のスワップ試行は返金された後に再試行され、結果として得られたETHは新規作成されたイーサリアム・アドレスに追跡された。

第3波の資金が元のアドレスから流出

今回の移動は、Coldcard第1波・第2波・第3波に関連する元の統合アドレスから確認された初めての送出活動である。

第3波では8月上旬、脆弱なウォレットから207.7294 BTCが流出し、最初の2度の大規模攻撃波とは異なるトランザクション構造が用いられた。

第3波のビットコインの大半は依然として未移動である。今回のトランザクションはむしろ、盗難BTCの一部を、ネイティブのビットコインよりもイーサリアムやその他のブロックチェーン・インフラ上で移動しやすい資産へ変換する最初の試みと位置づけられる。ビットコインネットワークには、同様に柔軟な転送やスワップを自律的に可能にするネイティブのスマートコントラクト層が存在しない。

送金先のイーサリアム・アドレスと関連するトランザクション経路は、潜在的な換金出口の特定を進めるため、取引所、コンプライアンス企業、法執行機関の調査担当者と共有された。資金がETHとして存在する場合、分散型取引所、ブリッジ、ミキシング・サービスを通じてイーサリアム生態系内で流通でき、静止したビットコインの追跡と比べて調査側が監視すべき経路が拡大する。

Coldcard盗難は少なくとも1,778 BTCに到達

一連のColdcard侵害は、2021年3月に遡る欠陥のあるファームウェアによって導入された脆弱なシード生成に起因する。乱数生成の不具合により、一部のウォレットでは秘密鍵のエントロピーが著しく弱体化し、十分な計算資源を持つ攻撃者が影響を受けたシードをリモートで再構築できる可能性があった。

Galaxyの調査によると、8月中旬までに8,600を超えるアドレスから少なくとも1,778.84 BTCの盗難が確認された。信頼度の低い追加クラスタを含めれば、最終的な総額はさらに大幅に上昇する可能性がある。

3つの主要波以外の小規模な攻撃者のフットプリントからはすでに資金移動が発生しており、CoinJoinトランザクション、ピールチェーン、ブリッジ、中央集権型サービスを経由した資金も含まれる。今回のTHORChainでの活動が重要視されるのは、特定された最大3つの攻撃波に紐づく元のウォレットが、盗難BTCを受け取った後も手つかずのままだったためである。

ファームウェア修正では既存のシードは修復できない

Coinkiteは8月、新しいウォレット・シードの生成時にユーザー提供の追加ランダム性を要求する更新版のColdcardセキュリティファームウェアをリリースした。

影響を受けたハードウェアを更新しても、既存の脆弱なシードが安全になるわけではない。影響を受けたファームウェアで生成されたシードの下にあるビットコインは、修正済みソフトウェアと十分な新しいエントロピーを用いて新規生成されたウォレットへ移管されなければならない。

最初のTHORChainスワップ後も、第3波の元のアドレスに関連するビットコインの大半は元の場所に残っており、調査側は新たに受け取ったETHと送金先アドレスからの以降の転送を引き続き追跡している。未移動のまま残る第3波の保有分からさらなる換金が続くか、そして取引所が送金先アドレスに紐づく入金を検知するかどうかが、追跡努力の次の段階を左右する。