Galaxy Researchによると(投稿)、Coldcardウォレットハッキングは新たな段階に入り、一連の攻撃の背後にいる攻撃者は第3波の攻撃で盗まれたビットコインの約45%を移動させた。

Galaxy Researchは、ハッカーが盗んだBTCの大量移送を続けていると指摘した。以前に一部の資金をTHORChain経由で移動させ、9月2日にETHへ交換した攻撃者は、現在、盗難資金の痕跡を隠すためにCoinJoinを利用している。CoinJoinとは、ユーザーのトランザクションを他の参加者のものと混ぜ合わせるプライバシー技術であり、ブロックチェーン分析者が個々のコインを追跡することを大幅に困難にする。これは、違法な利益を凍結しようとする調査機関や取引所にとって一般的な障害となっている。

影響を受けたボールトからは、約97.09 BTC(推定価値780万ドル)がすでに費消されている。

攻撃者は最大のボールトから優先的に攻撃

Galaxyによると、ハッカーはボールトの規模に基づいて、コイン保有量の多いボールトから少ないものへと順に、盗んだビットコインを移動させているとみられる。ボールト#1から#11は攻撃者によってすでに移動された。まだ手つかずの次の10のボールトには約30.81 BTCが、またボールト#61から#293には合計33.77 BTCが含まれている。

盗難資金のうち他のウォレットへ移されたのはごく一部にすぎない。Galaxyの推計では、Coldcardハッキング全体で盗まれたビットコインの82%は依然としてハッカーが管理する元のアドレスに残っている。大部分の資金が未移動のままであることは被害者や観察者にとって重要な意味を持つ。単一のアドレスに集中している間は盗難資金を追跡できるが、クロスチェーンスワップやミキシングなどのマネーロンダリング手法により、その可視性は徐々に失われていく。

ハッキングに関連したファームウェアのバグ

Coldcardウォレットハッキングは7月30日に始まり、2021年にCoinkiteが提供したファームウェアの欠陥に関連していた。この脆弱性は、Coldcardデバイスがウォレットシードを生成する際の乱数の制約に起因し、一部のシードがブルートフォース攻撃に対して無防備な状態だった。その結果、ハッカーは秘密のシードフレーズを導出し、侵害された単一署名アドレスからビットコインを引き出すことができた。シードのエントロピー欠陥は、デバイスの中核機能である「所有者だけが知りうる鍵の生成」を損なうため、ハードウェアウォレットの欠陥の中でも最も深刻な部類に属する。被害を受けたユーザーには、自分のシードが予想より弱いものであることを検知する簡単な方法はなかった。

Galaxy Researchは8月中旬までに、8,600を超えるアドレスを通じて約190人の被害者から約1,779 BTCが盗まれたと推定した。

損失は1億4,390万ドルに達する可能性

Coldcardハッキングによる総損害は、当初の予想を上回る可能性がある。Galaxyは、ハッカーがColdcard被害者の58のアドレスを含む追加のボールトから資金を共同支出(co-spend)しており、これにより喪失コイン数は1,806 BTCに上昇すると指摘した。現在のレートで、失われたビットコインの価値は約1億4,390万ドルに相当する。

Galaxyはまた、「第4波(Wave 4)」と呼ばれる別の一連の関連サイバー攻撃の可能性についても言及したが、同社は第4波の存在を確認してはいない。さらなる波が実現するかどうか、そして取引所やチェーン分析企業がミキシングされた資金を検知できるかどうかが、盗難ビットコインのうち最終的にどれだけ追跡・回収できるかを左右する。

盗難ビットコインの継続的な動きは、Coldcardへの攻撃が依然として進行中であり、ハッカーが痕跡を隠すためにクロスチェーンスワップやCoinJoinなどの手法を用いていることを示している。

関連記事: Galaxy Research:Coldcardエクスプロイトは収束へ、総損失は少なくとも1,700 BTCに上昇