Galaxy Research подтвердила кражу 1,719 BTC на сумму около 111 миллионов долларов в результате эксплойта аппаратного кошелька Coldcard. Coldcard производится компанией Coinkite и является одним из самых популярных аппаратных кошельков, предназначенных исключительно для Bitcoin, разработанных для хранения приватных ключей в изолированном холодном хранилище вдали от подключённых к интернету устройств. Компания оценивает, что общие потери, вероятно, превышают 130 миллионов долларов, поскольку исследователи продолжают проверку дополнительных подозрительных монет.

Алекс Торн, руководитель отдела исследований Galaxy, получил сообщения о потерях от более чем 250 пострадавших. Неутверждённые кандидаты, находящиеся на рассмотрении, могут поднять подтверждённые потери свыше 2,300 BTC.

Подтверждённые потери и статистический профиль

Galaxy заявила, что классифицирует монеты как подтверждённые только после установления высокой степени уверенности, как правило, на основе нескольких сообщений пострадавших. Текущий подтверждённый итог составляет 1,719 BTC.

Согласно данным Торна, индивидуальные потери варьируются от 624 сатоши до 58.97 BTC. В расчёте по адресам медианная потеря составляет 0.014 BTC, а средняя — 0.212 BTC. В расчёте по заявленным пострадавшим медианная потеря достигает 1.022 BTC при средней в 4.04 BTC.

Старые монеты преобладают среди похищенных средств

Похищенные монеты демонстрируют чёткий возрастной паттерн. Медианный срок хранения составляет 3.5 года, а 88% похищенных монет были выпущены не менее одного года назад. Galaxy сообщила, что ни одна похищенная монета не была создана в блокчейне до 17 марта 2021 года — даты, которая совпадает с выпуском затронутой прошивки Coldcard. Концентрация краж среди давно хранимых монет означает, что пострадали даже те пользователи, которые на протяжении нескольких лет поддерживали то, что они считали безопасной конфигурацией холодного хранения, — паттерн, подчёркивающий серьёзность компрометации на уровне прошивки в категории устройств, чьё основное ценностное предложение заключается в изоляции ключей.

Затронутые аппаратные модели — Coldcard Mk3, Mk4, Mk5 и Q. Исследователи сообщили, что на данный момент нет свидетельств, указывающих на причастность других устройств подписи или кошельков.

Несколько злоумышленников и волны атак

В ходе расследования было выявлено более 25 различных моделей атак в рамках Волн 1, 2 и 3, что указывает на причастность нескольких злоумышленников.

Galaxy охарактеризовала профиль пострадавших по всем трём волнам как преимущественно обычные держатели Bitcoin, а не крупные инвесторы, заявив, что жертвы «в основном не киты». Распределение потерь — от долей биткоина до почти 59 BTC на адрес — отражает, что эксплойт затронул держателей с самым широким диапазоном размеров кошельков, а не нацеливался на конкретный сегмент.

Исследовательская группа продолжает рассмотрение сообщений пострадавших и проверку дополнительных монет-кандидатов перед их добавлением в подтверждённый набор. Galaxy отметила, что неутверждённые кандидаты могут поднять подтверждённые потери выше 2,300 BTC по мере развития расследования.