Les enquêteurs ont peut-être fourni aux autorités américaines des informations capables d'identifier un attaquant responsable de la première vague de vols Coldcard, a rapporté Bitcoin Magazine le 18 août.
Résumé
- Block a retracé le premier balayage Coldcard jusqu'à un compte de données blockchain payant utilisé pendant le vol.
- Galaxy a déclaré que la première vague a retiré 1 082,65 BTC, les fonds associés restant ensuite immobiles.
- Aucune déclaration du FBI ne confirme l'identité d'un attaquant, une arrestation, des accusations, une saisie ou la récupération des fonds volés.
- Au moins 1 700 BTC ont été volés en plusieurs vagues, selon la dernière estimation publique de Galaxy.
- Les graines vulnérables existantes restent dangereuses après les mises à jour du firmware et nécessitent une migration vers des portefeuilles nouvellement générés.
Alex Thorn de Galaxy Research a déclaré que l'identité de l'attaquant de la première vague « pourrait être connue des forces de l'ordre ». Sa déclaration était prudente, et le FBI n'a pas publiquement confirmé avoir identifié un suspect, ouvert une enquête, procédé à une arrestation ou récupéré des bitcoins volés.
La première vague a retiré 1 082,65 BTC de portefeuilles générés à l'aide d'un firmware Coldcard vulnérable. Au prix récent du Bitcoin, proche de 64 000 $, ces pièces vaudraient environ 69 millions de dollars, et non 11,8 millions.
Block a trouvé une trace hors chaîne du premier balayage
Le responsable de l'ingénierie de Block, Clay Garrett, a déclaré que les enquêteurs avaient trouvé un schéma inhabituel dans les balayages en chaîne de l'attaquant. L'opérateur aurait utilisé un compte payant auprès d'un fournisseur de données blockchain non nommé pour interroger les adresses sources et effectuer des activités connexes.
Le compte pourrait contenir des enregistrements de paiement, d'accès ou d'abonné. Cependant, aucune preuve publique n'établit quels enregistrements ont été conservés, qui contrôlait le compte ou si le service a reçu des informations d'identification précises.
Block a également déclaré n'avoir trouvé aucune preuve que le fournisseur ait sciemment aidé au vol. L'entreprise semblait avoir fourni des services ordinaires sans savoir comment les informations seraient utilisées.
L'identification par le FBI reste une possibilité non confirmée
Le rapport de Bitcoin Magazine a lié la piste d'enquête au FBI, mais aucune déclaration du FBI ne confirme cette affirmation. Aucune plainte pénale, acte d'accusation, dossier de saisie ou action de confiscation n'a été trouvé dans les archives publiques.
La formulation de Thorn est donc importante. Une identité qui « pourrait être connue » n'est pas la même chose qu'un suspect vérifié ou un prévenu inculpé. Les enquêteurs doivent encore établir qui exploitait le compte, qui contrôlait les adresses de réception et si les preuves soutiennent des accusations pénales.
Les fonds de la première vague restent visibles sur les adresses associées. Comme crypto.news l'a précédemment rapporté, le solde non déplacé du plus grand attaquant n'était pas entré dans un échange connu ou un mélangeur.
Ces pièces ne sont pas gelées. Les transactions Bitcoin ne peuvent pas être inversées ou bloquées au niveau du protocole. La récupération nécessiterait le contrôle des clés privées, un retour volontaire ou un transfert ultérieur via un intermédiaire capable de se conformer à une ordonnance de saisie légale.
Les pertes Coldcard dépassent un seul attaquant
La dernière page de recherche publique de Galaxy répertorie des pertes d'au moins 1 700 BTC sur plusieurs vagues. D'autres totaux restent plus élevés car les chercheurs utilisent différents clusters d'adresses, normes de confirmation et rapports de victimes.
Les vagues de vols ultérieures ont montré des schémas de transactions différents. Les chercheurs ont donc averti que plus d'un acteur pourrait avoir exploité l'espace de graines faible après que des informations sur la faille ont été rendues publiques.
Cette distinction signifie que l'identification du premier opérateur ne résoudrait pas nécessairement chaque vol. Galaxy a distribué les adresses suspectées aux enquêteurs, aux bourses et aux sociétés d'analyse, mais aucune agence n'a annoncé de récupération.
Dans une couverture connexe, la revue technique précédente de crypto.news a constaté que l'incident impliquait une génération de graines faible plutôt qu'un compromis du protocole Bitcoin ou un accès physique aux appareils.
Les utilisateurs vulnérables doivent toujours migrer leurs fonds
L'avis de Coinkite indique que les firmwares Mk2 et Mk3 affectés ont généré des graines avec une entropie inadéquate à partir de la version 4.0.1. Les graines créées sur certaines versions Mk4, Mk5 et Q ont également été exposées, bien que leur réduction d'entropie ait été moins grave.
Le firmware corrigé empêche le même défaut lors de la génération de nouvelles graines. L'installation d'une mise à jour ne répare pas une graine vulnérable existante. Les utilisateurs doivent d'abord mettre à jour, créer une toute nouvelle graine et déplacer leurs fonds après avoir vérifié une transaction de test.
Le statut actuel de Coinkite indique que son post-mortem technique formel est toujours en cours. Il indique également que des vérifications indépendantes ciblées ont eu lieu mais ne établissent pas que chaque binaire de firmware corrigé a reçu un audit complet.
L'incident a suscité des appels à des audits matériels indépendants. Les questions immédiates concernent maintenant la possibilité pour les autorités de relier le compte payant à une personne, si les fonds de la première vague bougent, et si les dossiers judiciaires confirment éventuellement une enquête.
