Galaxy Research dijo el lunes que 97,09 BTC, por valor de unos 7,7 millones de dólares, han salido de las bóvedas de la Ola 3.
Las monedas salieron a través de THORChain el 2 de septiembre y entraron en rondas de CoinJoin durante el fin de semana.
En todo el exploit de Coldcard, el 82% de los Bitcoin robados todavía no se ha movido.
El atacante detrás de la tercera ola de robos de carteras de hardware Coldcard ha movido 97,09 BTC, aproximadamente el 45% del botín de esa ola y unos 7,7 millones de dólares a los precios del lunes, según Galaxy Research.
La primera salida ocurrió el 2 de septiembre, cuando alrededor de 20,5 BTC de la bóveda más grande pasaron a través de THORChain y salieron como Ethereum. Las monedas gastadas el domingo por la noche entraron en rondas de CoinJoin en su lugar, una Bitcoin técnica de privacidad que agrupa transacciones de múltiples usuarios para romper el rastro entre entradas y salidas. Solo 20,56 BTC llegaron realmente a Ethereum. Otros 57,24 BTC están sin gastar como cambio de CoinJoin en una sola dirección, y Galaxy dice que su rastro termina en aproximadamente 19 BTC más.
El explotador de la 'Ola 3' de Coldcard continúa moviendo fondos
En la ola 3, el explotador creó 293 bóvedas multisig 2-de-2 para las monedas de cada víctima.
Los primeros movimientos el 9/2 enviaron monedas a través de THORChain a Ethereum.
Las bóvedas son construcción del propio atacante. Galaxy dijo que el operador construyó 293 direcciones multisig de dos de dos y ha estado trabajando en ellas en orden de tamaño. Once están ahora vacías. Las siguientes diez contienen 30,81 BTC entre ellas, y las 233 más pequeñas contienen 33,77 BTC.
Los robos se remontan a un error de firmware que Coinkite introdujo en marzo de 2021, que desvió la generación de semillas del chip de números aleatorios del hardware a un sustituto de software, colapsando la fuerza de la clave de 128 bits de entropía a tan solo 40. Eso permitió a los atacantes reconstruir claves privadas fuera de línea y drenar direcciones de firma única sin tocar el hardware. Los barridos comenzaron el 30 de julio.
Coinkite ha renovado el firmware, ahora en Mk4/Mk5 5.6.2 y Q 1.5.2Q, requiriendo que los propietarios proporcionen su propia aleatoriedad mediante pulsaciones de teclas, lanzamientos de dados o lanzamientos de moneda. Una actualización aún no puede reparar una semilla generada bajo la versión defectuosa, y cualquier persona cuya billetera fue creada en firmware afectado tiene que generar una nueva semilla y mover sus monedas a ella. El director ejecutivo de Coinkite, Rodolfo Novak, se disculpó en una carta abierta el 31 de julio, escribiendo que la empresa tendría que "recuperar la confianza de nuestros usuarios". Un análisis técnico completo aún está en preparación.
El hilo del lunes también señaló una bóveda previamente desconocida alimentada por 58 direcciones. Galaxy marca su causa como abierta pero cree que es otra víctima de Coldcard, lo que elevaría su total publicado para la explotación a aproximadamente 1,806 BTC, o $143.9 millones. Galaxy dijo en agosto que también estaba llevando una cuarta ola no confirmada de 638.5 BTC, lo que llevaría el total más allá de 2,400, y no había registrado barridos de atacantes desde el 6 de agosto. En todas las olas, el 82% de las monedas permanecen donde los atacantes las colocaron inicialmente.
