Исследователи-«белые шляпы» перевели 52.37 Bitcoin, связанных с эксплойтом кошелька Coldcard, в восстановительный траст — шаг, направленный на защиту средств до того, как ими смогут завладеть злоумышленники. Транзакция была подтверждена в блоке Bitcoin 967,948.

Этот перевод стал очередным шагом в продолжающихся усилиях по обеспечению безопасности средств, связанных с июльским инцидентом Coldcard. Эксплойт затронул кошельки, генерация сидов которых опиралась на слабую случайность, — уязвимость позволяла злоумышленникам восстанавливать определённые сиды кошельков и опустошать доступные балансы.

Вновь защищённые 52.37 BTC объединяют средства из Wave 2 и из кластеров адресов, обозначенных как Footprints AA, AU и AX. Эти метки отражают распространённый метод блокчейн-анализа, при котором связанные адреса группируются в именованные кластеры, чтобы отслеживать движение средств в публичном реестре. Данная сумма составляет около 2.8% от общего объёма средств, отслеживаемых в связи с эксплойтом.

Отслеживание Восстановленного Bitcoin

Принимающий адрес содержал сообщение OP_RETURN, направляющее пострадавших пользователей к восстановительному трасту. OP_RETURN — это тип вывода транзакции Bitcoin, который позволяет встроить короткий текстовый фрагмент, видимый любому, кто изучает цепочку; именно так инструкции траста стали доступны пострадавшим пользователям. Такая структура призвана удерживать восстановленные активы отдельно, пока проверяются заявления о праве собственности.

Исследователи также зафиксировали дополнительную активность вокруг того же восстановительного адреса. Ещё 3.0134 BTC поступили на адрес без какой-либо предшествующей истории отслеживания. Аналитики описали эти монеты как потенциально связанные с восстановлением после Coldcard, однако их происхождение остаётся неподтверждённым. Эта неопределённость напоминает, что публичный реестр показывает, куда движутся монеты, но не кто их переместил, а атрибуция обычно опирается на те же кластерные данные, что лежат в основе меток Footprints.

Около 40% отслеживаемых средств Wave 2 теперь идентифицированы как активность «белых шляп». Это различие важно, поскольку исследователи переместили эти монеты для их защиты, а не для кражи, при этом оставшаяся средств Wave 2 пока не отнесена к подтверждённым категориям.

Вопросы Распределения Остаются

Восстановление не означает, что пострадавшие пользователи автоматически получат свой Bitcoin немедленно. Сначала траст должен установить, какие адреса имеют право на компенсацию, и определить порядок распределения восстановленных средств.

Инцидент также подчёркивает сохраняющийся риск для кошельков, созданных с использованием уязвимых процессов генерации сидов. Хотя обновление прошивки может устранить программный дефект, оно не может задним числом изменить сид, уже сгенерированный со слабой случайностью.

Таким образом, 52.37 BTC, находящиеся сейчас в трасте, представляют собой конкретный пул средств для возможной компенсации, в то время как вопросы проверки, права собственности и итогового распределения остаются центральными в процессе восстановления. То, как будут развиваться следующие этапы — включая дальнейшую идентификацию активности Wave 2 и ясность в отношении неатрибутированных 3.0134 BTC, — определит, сколько в итоге смогут восстановить пострадавшие пользователи.