Napastnik z trzeciej fali ataków na Coldcard przenosi skradzione środki przez CoinJoin

Napastnik powiązany z trzecią falą kradzieży portfeli Coldcard rozpoczął przenoszenie kolejnych jednostek bitcoina, kierując wcześniejsze transfery przez THORChain na Ethereum i wprowadzając nowsze ruchy do rund CoinJoin. Galaxy Research udokumentowała tę aktywność w aktualizacji on-chain z 7 września, podając, że exploiter utworzył 293 wielopodpisowe sejfy typu two-of-two, w których przechowywano monety ofiar.

Aktualizacja opisuje zachowanie portfela, a nie tożsamość ani intencje napastnika. Kierowanie środków przez infrastrukturę międzyłańcuchową i transakcje wspólne Bitcoina może utrudniać śledzenie, ale samo w sobie nie dowodzi, że dochody zostały skutecznie wyprane.

Środki z trzeciej fali zaczynają opuszczać sejfy

Według Galaxy pierwsze ruchy w tej fali nastąpiły 2 września, kiedy monety wysłano przez THORChain i trafiły na Ethereum. Firma badawcza następnie zaobserwowała, że kolejne transfery wchodziły do rund CoinJoin. W publicznym wpisie nie podano ostatecznej kwoty ani nie potwierdzono, że wszystkie sejfy zostały opróżnione.

CoinJoin łączy wejścia i wyjścia wielu uczestników w jedną transakcję Bitcoina. Ta konstrukcja od lat jest wykorzystywana przez portfele nastawione na prywatność, takie jak Wasabi i Samourai, których usługi koordynacyjne stały się w ostatnich latach celem działań organów ścigania — co przypomina, że mieszanie, choć legalne w wielu jurysdykcjach, budzi wzmożoną kontrolę. Taka struktura utrudnia prostą analizę grafu transakcji, ponieważ obserwator nie może po prostu założyć, że każde wejście odpowiada konkretnemu wyjściu. Śledczy mogą nadal opierać się na czasie, kwotach i późniejszym zachowaniu wydatkowym, choć pewność atrybucji może spadać.

Najnowszy ruch następuje po szerszym incydencie Coldcard

Coldcard, tworzony przez kanadyjską firmę Coinkite, to popularny podpisywacz sprzętowy typu air-gapped wśród użytkowników bitcoinowej samodzielnej opieki nad kluczami, dlatego fale exploitów szeroko odbiły się w tej społeczności. Galaxy wcześniej powiązała trzecią falę z setkami sejfów utworzonych przez napastnika. Wcześniejsze doniesienia o exploicie Coldcard i dotkniętych nim bitcoinach opisywały szerszą kradzież związaną z naruszonym generowaniem portfeli, w którym podatne seedy mogły zostać wyliczone przez napastnika. Najnowsze transfery zmieniają sprawę z w dużej mierze nieruchomych zasobów w aktywny problem śledczy.

THORChain i CoinJoin odgrywają na tej ścieżce różne role. THORChain umożliwia swapy między natywnymi aktywami bez pośredników w postaci tokenów opakowanych, podczas gdy CoinJoin działa wewnątrz Bitcoina, łącząc transakcje. Żadne z tych narzędzi nie jest z natury złośliwe; ich znaczenie wynika z zaobserwowanego użycia przez adresy, które Galaxy wiąże z exploiterem.

Naprawa portfela pozostaje odrębna od śledzenia środków

Śledzenie skradzionych środków nie naprawia naruszonego seeda. Użytkownicy dotknięci słabym generowaniem portfela muszą utworzyć nowy seed przy użyciu poprawionego oprogramowania lub zaufanego sprzętu i przetransferować pozostałe aktywa. Sama instalacja nowego firmware'u nie może sprawić, że już ujawniona fraza odzyskiwania znów stanie się tajna.

Aktualizacja Galaxy daje śledczym nową sekwencję do monitorowania, ale odzyskanie środków nie jest gwarantowane. Każde jednoznaczne twierdzenie o atrybucji, wymieszanej kwocie czy miejscu docelowym zswapowanych aktywów będzie wymagało dodatkowych dowodów on-chain, a potencjalnie także informacji od usług, które otrzymują te środki. Dla dotkniętych użytkowników i giełd praktycznym następnym krokiem jest obserwacja, czy zswapowane aktywa po stronie Ethereum trafią do usług z wymogami identyfikacji, co historycznie było wąskim gardłem w podobnych sprawach śledczych.