Galaxy связывает 40% второй волны взлома Coldcard с действиями белых хакеров

Алекс Торн, глава отдела исследований Galaxy Digital, заявил, что вторая волна атак при эксплуатации уязвимости кошелька Coldcard на 40% состояла из действий белых хакеров.

Торн отследил перевод 52,37 BTC на адрес, помеченный как новый фонд восстановления.

52.37 BTC поступили на новый адрес в блоке 967,948

По словам Торна, 52,37 BTC поступили из монет второй волны и трех кластеров атакующих, которые Galaxy назвала Footprint AA, AU и AX. Средства достигли нового адреса, подтвержденного в блоке 967948.

Транзакция содержала заметку OP_RETURN — короткое сообщение, встроенное в транзакцию Bitcoin. В ней говорилось: «claim:cryptorecoverytrust dot com».

Торн оценил эту сумму как 2,8% от отслеживаемых средств, похищенных в ходе эксплуатации уязвимости. В той же транзакции на тот же адрес восстановления было отправлено еще 3,0134 BTC, не имевших предыстории отслеживания.

Торн предположил, что, вероятно, больше средств Coldcard было возвращено белыми хакерами. Он отметил, что эта связь не подтверждена.

В рамках мониторинга блокчейна исследователи Galaxy также обнаружили связанную транзакцию на сумму 40,71 BTC (около 3,31 млн долларов) 21 сентября.

В этой транзакции было 11 адресов, 20 входов и 480 выходов, а также содержалось то же сообщение о фонде восстановления.

Пиковые потери достигли $130 млн из-за уязвимости в прошивке от 2021

Белые хакеры — это исследователи безопасности, которые используют методы злоумышленников, чтобы захватить обнаженные монеты раньше преступников. Некоторые выводы средств с кошельков жертв были спасательными операциями, при этом монеты хранились до появления владельцев.

Жертвы могут проверить адреса кошельков на cryptorecoverytrust.com, чтобы узнать, были ли средства выведены в безопасное место. Большая часть украденного биткоина находится в спящем режиме на кошельках злоумышленников.

Эксплуатация уязвимости Coldcard началась 30 июля и происходила несколькими партиями в последующие дни. Оценки ущерба варьируются от более чем 100 миллионов до примерно 130 миллионов долларов.

В более раннем отчете Cryptopolitan подсчитали, что было выведено около 1816 BTC с более чем 5200 адресов, что на тот момент составляло от 114 до 116 миллионов долларов.

Некоторые седы, генерируемые прошивкой Coldcard, использовали программный генератор случайных чисел вместо аппаратного генератора устройства, и злоумышленники восстановили эти седы офлайн, чтобы опустошить кошельки.

Cryptopolitan ранее проследил уязвимость до изменения прошивки в марте 2021 года. Компания Coinkite, производитель Coldcard, уже исправила прошивку, но монеты, уже извлеченные по старым седам, остаются в опасности.