Обновление (3 августа, 4:19 UTC): В статью внесены последние оценочные данные по количеству затронутых адресов и биткоинов от Алекса Торна из Galaxy.

Выявлена новая волна скоординированных краж, нацеленных на биткоин-аппаратные кошельки Coldcard, которая, по мнению исследователей, является четвёртой подобной волной с момента начала инцидентов в прошлый четверг.

В публикации на X глава исследовательского подразделения Galaxy Алекс Торн сообщил о сотнях транзакций, затрагивающих 709 потенциальных адресов жертв и перемещающих в общей сложности 448,7 биткоина (BTC). По словам Торна, активность в среднем составляла 13,8 операций вывода средств на блок — примерно в 45 раз больше показателя, зафиксированного в контрольном периоде до инцидента. В большинстве переводов для каждой отдельной жертвы создавался новый адрес назначения вместо перенаправления средств на единый централизованный кошелёк, что соответствует закономерности предыдущих волн.

Торн также указал, что часть похищенных средств уже была перемещена на адреса второго уровня.

«Это, ВЕРОЯТНО, жертвы Coldcard — они соответствуют структуре уязвимых UTXO Coldcard, а повышенная транзакционная активность даёт мне высокую уверенность в том, что это очередная волна атак», — написал Торн.

Исследователь отметил, что в мемпуле видны дополнительные транзакции с аналогичным характером, ожидающие подтверждения.

Пострадавшие пользователи, сохранившие контроль над приватными ключами, ещё могут иметь возможность отправить конфликтующую транзакцию с более высокой комиссией и потенциально перевести средства на безопасный кошелёк до того, как перевод злоумышленника будет подтверждён в блокчейне. Использование индивидуальных адресов назначения и быстрое перемещение на адреса второго уровня указывает на попытку усложнить отслеживание в блокчейне — методику, согласующуюся с наблюдаемыми стратегиями отмывания при прежних крупных кражах криптовалют.

Текущие кражи связаны с ранее необнаруженной ошибкой прошивки Coldcard. Уязвимость приводила к тому, что на затронутых аппаратных кошельках seed-фразы восстановления генерировались с меньшей энтропией, чем предполагалось, что делало их значительно более предсказуемыми и подверженными атакам перебором. Устройства Coldcard представляют собой аппаратные кошельки, предназначенные для хранения приватных ключей биткоина в автономном режиме, и дефект генерации seed-фраз подорвал эту модель безопасности на фундаментальном уровне. Аппаратные кошельки широко рекомендуются как лучшая практика для самостоятельного хранения криптовалютных активов именно потому, что они изолируют приватные ключи от подключённых к интернету устройств, благодаря чему ошибка в генерации случайных seed-фраз представляет собой особенно серьёзный класс уязвимостей.

По текущим оценкам, затронуты тысячи кошельков, а совокупные потери превысили 90 миллионов долларов в биткоинах.

По теме: Оценка потерь биткоинов с Coldcard выросла до $70 млн после анализа Galaxy