A maior parte dos Bitcoins roubados através da falha da carteira COLDCARD permanece intocada, mas investigadores on-chain detectaram um atacante separado começando a rotear quantias menores através de um mixer.
Resumo
- O maior atacante conhecido do COLDCARD controla 1.159 BTC em sete endereços.
- Nenhum dos 1.159 BTC entrou em mixers ou foi transferido para um serviço de saque identificável.
- Um atacante separado enviou 64 BTC para um mixer, inicialmente misturando cerca de 10 BTC.
- Os investigadores distribuíram aproximadamente 600 endereços sinalizados para agências de aplicação da lei, exchanges e empresas de análise.
Atacante do COLDCARD deixa 1.159 BTC intocados
A Galaxy Research afirmou que o maior roubo conhecido relacionado à vulnerabilidade do COLDCARD envolveu 1.159 BTC. Os fundos permanecem distribuídos em sete endereços associados ao atacante e não foram movimentados desde a varredura inicial.
Os Bitcoins foram roubados em 41 minutos, de acordo com o monitoramento on-chain mais recente citado pelo Bitcoin News. Os investigadores não detectaram transferências dos sete endereços para exchanges, mixers ou outros serviços comumente usados para obscurecer fundos roubados.
Portanto, os ativos são melhor descritos como intocados, em vez de tecnicamente congelados. As transações de Bitcoin não podem ser interrompidas no nível do protocolo apenas porque um endereço foi sinalizado.
No entanto, o atacante pode enfrentar dificuldades para converter os fundos em moeda fiduciária ou outros ativos. Agências de aplicação da lei, exchanges de criptomoedas e empresas de análise de blockchain sinalizaram cerca de 600 endereços relacionados ao roubo mais amplo.
Qualquer transferência para uma exchange em conformidade pode acionar controles de monitoramento de transações e solicitações de informações sobre a conta que recebe os Bitcoins.
Atacante menor começa a misturar Bitcoins roubados
Atividade on-chain separada sugere que outro atacante começou a tentar obscurecer parte dos fundos roubados.
Analistas rastrearam 64 BTC entrando em um fluxo de transações vinculado a um mixer. Aproximadamente 10 BTC foram inicialmente misturados, enquanto cerca de 54 BTC retornaram como troco. Os fundos restantes foram subsequentemente divididos em saídas de aproximadamente 7 BTC cada para mistura adicional.
Mixers combinam ou reestruturam transações para dificultar a conexão entre a fonte original da criptomoeda e seu destino final. No entanto, eles não garantem que os fundos se tornarão impossíveis de rastrear.
Os analistas disseram que as saídas relativamente grandes e de tamanho consistente tornam essa tentativa de lavagem mais fácil de seguir. Os investigadores podem continuar monitorando as transações à medida que os Bitcoins passam por endereços adicionais.
A atividade também parece separada do cluster de sete endereços que detém 1.159 BTC. Relatórios anteriores descobriram que vários atacantes podem ter explorado a mesma fraqueza da carteira, o que significa que movimentações de um cluster não devem ser automaticamente atribuídas a todos os roubos do COLDCARD.
Galaxy rastreou anteriormente 1.596 BTC roubados
Como anteriormente relatado pela crypto.news, a Galaxy Research confirmou que os atacantes roubaram 1.596 BTC de aproximadamente 7.300 endereços em três ondas de ataques. Também identificou 14 incidentes menores ligados à mesma falha de geração de semente.
Uma suspeita quarta onda poderia elevar o total para aproximadamente 2.055 BTC, embora a Galaxy não tenha confirmado essas perdas adicionais por meio de relatos suficientes de vítimas.
A vulnerabilidade resultou de um erro de firmware que enfraqueceu a aleatoriedade usada para gerar frases-semente de carteiras. Os atacantes podiam reproduzir sementes possíveis offline, derivar seus endereços Bitcoin e compará-los com endereços visíveis na blockchain.
Eles não precisavam de acesso físico aos dispositivos, seus PINs ou à própria rede Bitcoin. O protocolo Bitcoin subjacente não foi comprometido.
A Coinkite lançou firmware corrigido, mas uma atualização não pode proteger uma frase-semente gerada usando uma versão vulnerável. Os usuários afetados devem criar uma semente totalmente nova e transferir seus Bitcoins para endereços derivados dela.
Investigadores dos EUA monitoram endereços sinalizados
A Galaxy disse anteriormente que compartilhou endereços confirmados de atacantes e vítimas com agências de aplicação da lei dos EUA, exchanges e grupos de investigação cibernética. A lista crescente de endereços pode ajudar as autoridades a identificar fundos roubados quando os atacantes tentarem usar serviços regulamentados.
Ainda assim, recuperar os Bitcoins permanece incerto. Um atacante pode mover fundos por vários endereços, mixers, plataformas descentralizadas ou serviços fora da jurisdição dos EUA antes de tentar convertê-los.
A atividade mais recente do mixer dá aos investigadores um novo rastro de transações a seguir, enquanto os 1.159 BTC mantidos pelo maior atacante conhecido permanecem expostos ao monitoramento público contínuo.
