Bitcoin die gestolen werd tijdens de derde grote Coldcard-aanvalsgolf is voor het eerst verplaatst van de oorspronkelijke adressen van de dader, waarbij een deel van de middelen werd omgezet in Ether via THORChain, volgens on-chain tracking gedeeld door intangiblecoins op X.

Ongeveer 4,2 BTC werd omgewisseld in ruwweg 135 ETH toen de dader meerdere routes testte via het cross-chain liquiditeitsprotocol. THORChain is een toestemmingloos protocol dat native asset-swaps tussen verschillende blockchains mogelijk maakt zonder wrapped tokens of gecentraliseerde bewaarders, een ontwerp dat het eerder tot een terugkerende plek maakte voor het verplaatsen van illegale crypto-assets, omdat gebruikers niet via een gereguleerde tussenpartij met identiteitscontroles gaan. Verschillende swap-pogingen werden terugbetaald voordat ze opnieuw werden geprobeerd, en de resulterende ETH werd getraceerd naar een nieuw aangemaakt Ethereum-adres.

Middelen van golf 3 verlaten de oorspronkelijke adressen

De verplaatsing markeert de eerste bevestigde uitgaande activiteit van de oorspronkelijke consolidatie-adressen die verbonden zijn met Coldcard-golven 1, 2 of 3.

Golf 3 tapte oorspronkelijk 207,7294 BTC af uit kwetsbare wallets begin augustus, met een transactiestructuur die verschilde van de eerste twee grote aanvalsgolven.

Het grootste deel van die Bitcoin uit golf 3 is nog niet verplaatst. De nieuwste transacties vormen veeleer een eerste poging om een deel van de gestolen BTC om te zetten in assets die gemakkelijker over Ethereum en andere blockchain-infrastructuur kunnen bewegen dan native Bitcoin, waarvan het netwerk geen native smart-contract-laag heeft die vergelijkbaar flexibele overdrachten of swaps op zichzelf mogelijk maakt.

Het bestemmingsadres op Ethereum en de bijbehorende transactiepaden zijn gedeeld met beurzen, compliancebedrijven en opsporingsonderzoekers, terwijl de inspanningen om mogelijke aflooproutes te identificeren voortduren. Zodra middelen als ETH bestaan, kunnen ze worden geleid via gedecentraliseerde beurzen, bridges en mixingservices binnen het Ethereum-ecosysteem, waardoor het aantal paden dat onderzoekers moeten monitoren toeneemt in vergelijking met het volgen van statische Bitcoin-outputs.

Coldcard-diefstal bereikte ten minste 1.778 BTC

De bredere Coldcard-inbreuk vond zijn oorsprong in zwakke seed-generatie die werd geïntroduceerd door foutieve firmware die teruggaat tot maart 2021. Een storing in de willekeurige-nummergenerator kon sommige wallets een dramatisch zwakkere entropie van privésleutels geven, waardoor aanvallers met voldoende rekenkracht getroffen seeds op afstand konden reconstrueren.

Ten minste 1.778,84 BTC werd volgens Galaxy-onderzoek bevestigd als gestolen van meer dan 8.600 adressen midden augustus. Aanvullende clusters met lagere zekerheid kunnen de uiteindelijke totaal veel hoger doen uitvallen.

Er had al beweging plaatsgevonden vanuit kleinere sporen van de dader buiten de drie voornaamste golven, waaronder middelen die via CoinJoin-transacties, peel chains, bridges en gecentraliseerde diensten werden geleid. De nieuwe THORChain-activiteit is significant omdat de oorspronkelijke wallets die verbonden waren met de drie grootst geïdentificeerde aanvalsgolven onaangeroerd waren gebleven na het ontvangen van de gestolen BTC.

Firmware-update kan bestaande seeds niet herstellen

Coinkite bracht in augustus een bijgewerkte Coldcard-beveiligingsfirmware uit die extra door de gebruiker geleverde willekeur vereist bij het genereren van nieuwe wallet-seeds.

Het bijwerken van getroffen hardware maakt een bestaande kwetsbare seed niet veilig. Bitcoin die onder seeds valt die met getroffen firmware zijn gegenereerd, moet worden overgezet naar een nieuw aangemaakte wallet die met gepatchte software en voldoende verse entropie is gemaakt.

Het grootste deel van de Bitcoin die verbonden is met de oorspronkelijke adressen van golf 3 bleef op zijn plek na de eerste THORChain-swaps, terwijl onderzoekers de nieuw ontvangen ETH en eventuele daaropvolgende overdrachten vanaf het bestemmingsadres blijven volgen. Of er verdere conversies volgen uit de nog steeds niet verplaatste bezittingen van golf 3, en of beurzen stortingen die aan het bestemmingsadres zijn gekoppeld markeren, zal de volgende fase van het opsporingsonderzoek bepalen.