Coldcardの窃取被害が8800万ドルに拡大、3波にわたる攻撃で取引所入金が急増し、休眠中のビットコインも動き出す

3件の不審なスイープ攻撃が4,585のアドレスを drains

Galaxy ResearchはX上で、3件の疑わしい窃取波が約4,585のアドレスから資金を引き出し、分析時点で約8,860万ドル相当のビットコインを奪取したと公表しました。同社は、調査結果が予備的なものであり、公開されているビットコインブロックチェーンのデータのみに基づいていることを強調しました。別の追跡ダッシュボードであるColdcard Sweep Watchは、土曜日の午後5時（EDT）時点で総額1,158.8480 BTCと記録しています。

3波のうち最大規模だったのは最初の波でした。7月30日、攻撃者はわずか41分で1,195のアドレスから1,082.65 BTCをスイープしました。翌日の第2波では1,478のアドレスから76.16 BTCが回収されました。7月31日から8月1日にかけて展開された第3波では、約208 BTCが1,912のアドレスから引き出されました。

第3波がパターンを打破、攻撃者の正体に疑問が浮上

第3波の操作は、方法論において最初の2波と大きく異なっていました。第1波および第2波では、窃取した資金が少数のコレクターアドレスおよび保有アドレスに集められていました。一方、第3波では被害者のビットコインが293の個別P2WSH金庫に分散されました。これは、コインが移動されるまで支払い条件を隠蔽するネイティブSegWitアドレスの一種です。

Galaxyは、断片化された金庫構造により、外部の観察者が資金をクラスタリングして追跡することが著しく困難になると指摘しました。この変化は、最初のスイープ攻撃が公知となった後、元の攻撃者が作戦を再構築した可能性を示唆しています。あるいは、別の主体が独自に同じ脆弱なアドレスプールを特定し、悪用した可能性もあります。ブロックチェーンの記録のみでは、どちらのシナリオが正しいかを断定することはできません。

脆弱性は2021年のColdcardファームウェアリリースに起因

Galaxyは、悪用されたアドレスを2021年3月17日に配信された脆弱なCoinkite Coldcardファームウェアバージョンと関連付けました。重要な点として、影響を受けたコインのいずれもそのファームウェアリリース以前に作成されたものではありませんでした。被害アドレスの中央値は約3.5年間休眠状態にあり、長期コールドストレージ利用者の使用パターンと一致していました。

ColdcardはCoinkiteが製造するビットコイン専用のハードウェアウォレットであり、プライベートキーがインターネットに接続されたデバイスに触れることがないエアギャップセキュリティモデルで市場化されています。今回の事件は、オフラインでのキー保存を目的として設計されたウォレットであっても、ファームウェアを通じて導入された悪用可能な脆弱性を抱える可能性があることを浮き彫りにしています。これはハードウェアウォレットセクター全体に及ぶ懸念であり、デバイスの安全性はデバイス上で実行されるソフトウェアの完全性に大きく依存しています。

7月31日に取引所入金が急増

研究者が窃取の全容を分析する中、セントラライズド仮想通貨取引所は7月31日にビットコインデポジットの劇的な急増を記録しました。Timechainindex.comのSaniが共有したデータによると、当日の取引所純流入量は11,163 BTCでした。

Riverが推定3,679 BTCを受領し、以下Binanceが3,224 BTC、Krakenが2,848 BTC、OKXが1,291 BTCと続きました。セントラライズド機関全体で、特定できないアドレスから1日で15,205 BTCを受領し、報告されている保有量が大幅に増加しました。

取引所への大規模な流入は通常注目を集めます。取引プラットフォームに移動されたコインは売却予定、担保設定、または内部カストディ移転のための可能性があるためです。このデータは、7月31日のデポジットのいずれかがColdcardユーザー、攻撃者、または本件への対応として行われたことを裏付けるものではありません。それでも、タイミングは注目に値します。この種のセキュリティイベントは、保有者に保管体制の再編、取引所へのコイン移動、または信頼できなくなったウォレット構成の放棄を促す可能性があります。流入の急増は、無関係な機関移転、日常的な顧客デポジット、または取引所の簿記活動を反映している可能性もあり、重要ではあるものの最終的に決定的な証拠とは言えません。

長期間休眠していたビットコインウォレットが活動を再開

別の展開として、2010年から2017年にかけて作成された多数のアドレスが、9年から16年間の休眠の後にコインの移動を開始しました。Bitcoin.com Newsがbtcparser.comから収集した統計によると、7月30日から8月1日にかけて確認された取引は合計約306 BTCに達し、10 BTCおよび30 BTCの反復移動が含まれていました。

2010年7月2日に作成された1つのアドレスは、50 BTC超の古いコインベース取引を移動させました。その他の取引には、2014年発祥のアドレスからの37.8 BTCや、2017年7月29日に作成された3つのウォレットによる連携移動が含まれていました。これら3つのウォレットは、37.5 BTCと2件の30 BTC移動を同じブロック内で実行しました。

休眠中の活動はColdcardのスイープ攻撃と決定的に結びつけることはできません。Galaxy Researchは、疑わしい被害者のコインがすべて2021年に配信された脆弱なファームウェアの後に作成されていたのに対し、新たに活動を再開した休眠ウォレットの多くはColdcardが存在する何年も前からビットコインを保有していたと指摘しました。それでも、取引所への流入と同様に、長期間非活動だったBTC保有者がセキュリティ体制を見直し、カストディアルサービスを含む代替保管先に資産を移動させている可能性があります。

研究者は保有アドレスと金庫の監視を継続

Galaxy Researchは、最初の2波に関連する7つの保有アドレスと第3波の293の金庫を積極的に監視していると述べました。これらの金庫からの最初の支払いは、基盤となるスクリプトを露出させる可能性があり、複数のアドレスに同じ署名キーや支払い構造が現れるかどうかを明らかにする可能性があります。そのような発見があれば、ブロックチェーン分析コミュニティ全体がクラスタリング手法を適用し、第3波を以前の攻撃と結びつける、あるいは全く別の主体と関連付けることが可能になるでしょう。

報道時点で、BTCは62,326ドルで取引されていました。