Galaxy Research potwierdziło, że w ramach ataku na portfele sprzętowe Coldcard skradziono 1719 BTC o wartości około 111 milionów dolarów. Coldcard jest produkowany przez Coinkite i jest jednym z najczęściej używanych portfeli sprzętowych przeznaczonych wyłącznie dla Bitcoina, zaprojektowanych w celu przechowywania kluczy prywatnych w odizolowanym portfelu zimnym, z dala od urządzeń podłączonych do internetu. Firma szacuje, że całkowite straty prawdopodobnie przekroczą 130 milionów dolarów, ponieważ badacze nadal weryfikują dodatkowe podejrzane monety.

Alex Thorn, szef działu badań w Galaxy (Head of Firmwide Research), otrzymał zgłoszenia o stratach od ponad 250 ofiar. Kandydaci w trakcie weryfikacji mogą doprowadzić do wzrostu potwierdzonych strat powyżej 2300 BTC.

Potwierdzone straty i profil statystyczny

Galaxy oświadczyło, że monety klasyfikuje jako potwierdzone dopiero po osiągnięciu wysokiego poziomu pewności, zazwyczaj dzięki zgłoszeniom od wielu ofiar. Obecna potwierdzona suma wynosi 1719 BTC.

Zgodnie z danymi Thorna, indywidualne straty wahają się od 624 satoshis do 58,97 BTC. Mierząc według adresu, mediana straty wynosi 0,014 BTC, a średnia 0,212 BTC. Mierząc według zgłoszeń ofiar, mediana straty sięga 1,022 BTC, a średnia wynosi 4,04 BTC.

Starsze bitcoiny dominują w skradzionych środkach

Skradzione monety wykazują wyraźny wzorzec wiekowy. Mediana okresu uśpienia wynosi 3,5 roku, a 88% skradzionych monet miało co najmniej rok. Galaxy poinformowało, że żadna skradziona moneta nie została wygenerowana w łańcuchu (on-chain) przed 17 marca 2021 r. — datą, która zbiega się z wydaniem dotkniętego problemem oprogramowania układowego Coldcard. Koncentracja kradzieży na długo trzymanych monetach oznacza, że dotknięci zostali również użytkownicy, którzy przez wiele lat utrzymywali to, co uważali za bezpieczne konfiguracje portfeli zimnych. Wzorzec ten podkreśla powagę naruszenia na poziomie oprogramowania układowego w kategorii urządzeń, których główną zaletą jest izolacja kluczy.

Dotknięte modele sprzętowe to Coldcard Mk3, Mk4, Mk5 i Q. Badacze powiedzieli, że obecnie nie ma dowodów wskazujących na udział innych urządzeń do podpisywania lub portfeli.

Wielu sprawców i fale ataków

Śledztwo zidentyfikowało ponad 25 różnych wzorców ataków w Falach 1, 2 i 3, co wskazuje na zaangażowanie wielu sprawców.

Galaxy opisało profil ofiar we wszystkich trzech falach jako dominująco zwykłych posiadaczy bitcoinów, a nie inwestorów na dużą skalę, stwierdzając, że ofiary to „głównie nie wieloryby” (mostly not whales). Rozkład strat — wahający się od ułamków bitcoina do prawie 59 BTC na adres — odzwierciedla, że atak objął posiadaczy o szerokiej gamie wielkości portfeli, a nie był ukierunkowany na konkretną grupę.

Zespół badawczy kontynuuje przeglądanie zgłoszeń od ofiar i weryfikację dodatkowych kandydujących monet przed dodaniem ich do zestawienia potwierdzonych. Galaxy zaznaczyło, że w miarę postępów w śledztwie dodatkowe monety mogą podnieść potwierdzone straty powyżej 2300 BTC.