Um hacker associado à terceira onda de roubos de carteiras Coldcard começou a converter Bitcoin roubado em Ether através da THORChain em 3 de setembro, de acordo com Alex Thorn, da Galaxy Research.
Resumo
- O atacante da terceira onda da Coldcard moveu aproximadamente 10% do Bitcoin roubado através da THORChain para Ether esta semana.
- Pesquisadores rastrearam as trocas para um novo endereço Ethereum e compartilharam detalhes com as autoridades relevantes.
- Cerca de 90% dos fundos da terceira onda permaneceram imóveis quando o pesquisador da Galaxy, Alex Thorn, relatou as transferências.
- A THORChain reembolsou repetidamente algumas tentativas de troca, levando o atacante a reenviar transações, relatou Thorn na quarta-feira.
- A Coinkite diz que as sementes afetadas exigem migração porque instalar firmware corrigido não pode reparar credenciais de carteira existentes.
As transações moveram aproximadamente 10% do Bitcoin controlado por esse atacante, disse Thorn. Cerca de 90% permaneceram em seus endereços originais quando ele publicou a atualização.
Pesquisadores rastrearam as trocas através da THORChain para um endereço Ethereum recém-identificado. Thorn disse que compartilhou o endereço com autoridades policiais, empresas de criptomoedas e outras organizações que monitoram os ativos roubados.
Hacker da Coldcard encontra falhas em trocas THORChain
A THORChain permite que usuários troquem ativos nativos entre blockchains sem depositar fundos em uma exchange centralizada. O protocolo pode, portanto, converter Bitcoin nativo em Ether sem depender de uma plataforma de custódia convencional.
No entanto, nem todas as transações foram bem-sucedidas. Thorn disse que o hacker parecia estar enfrentando problemas técnicos ao tentar processar as trocas.
"O hacker parece estar tendo alguns problemas para trocar todos os fundos através da THORChain — eles continuam sendo reembolsados e ele continua tentando novamente", disse Thorn.
A causa dos reembolsos não foi confirmada imediatamente. Explicações possíveis incluem limitações de liquidez, configurações de transação ou salvaguardas do protocolo, mas nenhuma avaliação técnica verificada estabeleceu o motivo.
O movimento representou a primeira transferência onchain detectada a partir dos endereços originais associados às três primeiras ondas de ataques, de acordo com Thorn. Os analistas agora monitorarão se o ETH resultante se move para exchanges centralizadas, pontes ou serviços de privacidade.
Galaxy rastreou 1.789 Bitcoins para os roubos
A Galaxy Research atribuiu anteriormente a perda de 1.789,28 BTC em 8.865 endereços à vulnerabilidade da Coldcard. O Bitcoin valia aproximadamente US$ 114,7 milhões quando foi roubado.
Como o crypto.news relatou anteriormente, aproximadamente 87% do Bitcoin identificado permaneceu imóvel em 25 de agosto. A estimativa incluía fundos vinculados a múltiplos atacantes e ondas de ataques, não apenas a carteira que agora usa a THORChain.
Os números da Galaxy dependeram parcialmente de 221 relatos de vítimas cobrindo 790,72 BTC. A análise onchain identificou endereços afetados adicionais além daqueles relatados diretamente pelos clientes.
O total permanece uma estimativa porque os pesquisadores identificaram vários padrões de atacantes com diferentes níveis de confiança. A Galaxy distinguiu sua atribuição de alta confiança de outros endereços que também podem estar relacionados à vulnerabilidade.
Atacantes anteriores usavam misturadores de criptomoedas
As últimas trocas da THORChain são separadas da atividade de lavagem anterior atribuída a outros atacantes. A CertiK relatou em agosto que carteiras ligadas ao incidente mais amplo enviaram 64 BTC e 200 ETH para misturadores de criptomoedas.
Em cobertura relacionada, o crypto.news descobriu que um atacante reteve 1.159 BTC enquanto outro começou a misturar quantias menores. Os movimentos diferentes sugerem que várias partes podem ter explorado a mesma fraqueza.
Misturadores e trocas entre cadeias podem complicar o rastreamento, mas não tornam automaticamente os fundos impossíveis de rastrear. Os investigadores podem continuar seguindo as transferências quando os ativos entram e saem de protocolos públicos.
As exchanges centralizadas permanecem como pontos potenciais de intervenção porque realizam verificações de identidade e sanções. Thorn disse que o novo destino Ethereum foi distribuído para empresas relevantes para que pudessem identificar depósitos subsequentes.
Usuários do Coldcard ainda precisam de novas sementes de carteira
O roubo foi ligado à geração fraca de sementes no firmware do Coldcard lançado a partir de 2021. A vulnerabilidade reduziu a aleatoriedade que protegia algumas credenciais de carteira, permitindo que os atacantes calculassem chaves privadas sem acessar fisicamente os dispositivos.
A Coinkite, fabricante do Coldcard, diz que o firmware corrigido está disponível nos modelos afetados. Sua orientação de segurança atual afirma que sementes vulneráveis geradas anteriormente ainda exigem migração.
Instalar o firmware atualizado não repara uma semente criada sob o software afetado. Os usuários devem gerar uma nova semente com o firmware corrigido e transferir seus Bitcoins para endereços controlados por essa nova carteira.
Enquanto isso, o atacante também permaneceu ativo após as maiores ondas de roubo terem terminado. Em 29 de agosto, um endereço ligado à operação varreu Bitcoin de uma carteira de pesquisador deliberadamente enfraquecida, de acordo com Thorn. Os pesquisadores criaram a carteira para testar se o atacante continuava procurando por chaves privadas previsíveis. Seu rápido comprometimento indicou que a varredura automatizada permanecia ativa quase um mês após os primeiros grandes roubos.
O incidente também provocou um exame mais detalhado de como as carteiras de hardware geram frases de recuperação. Diferente de ataques de phishing, os roubos do Coldcard não exigiram que as vítimas aprovassem transações ou revelassem credenciais. As sementes expostas continham aleatoriedade insuficiente, permitindo que os atacantes derivassem chaves remotamente e identificassem endereços financiados no livro-razão público do Bitcoin. Como o crypto.news explicou anteriormente, a falha no firmware enfraqueceu as sementes geradas nos dispositivos afetados, o que significa que práticas seguras de armazenamento não podiam proteger fundos vinculados a essas credenciais.
Espera-se que a Galaxy e outros investigadores continuem observando o novo endereço Ethereum. Nenhuma recuperação pública, prisão ou identificação oficial do atacante havia sido anunciada quando as transferências foram relatadas.
