Os investigadores podem ter fornecido às autoridades dos EUA informações capazes de identificar um atacante responsável pela primeira onda de roubos de Coldcard, informou a Bitcoin Magazine em 18 de agosto.
Resumo
- Block rastreou a primeira varredura do Coldcard até uma conta paga de dados blockchain usada durante o roubo.
- Galaxy disse que a primeira onda removeu 1.082,65 BTC, com os fundos associados permanecendo imóveis depois.
- Nenhuma declaração do FBI confirma a identidade de um atacante, prisão, acusações, apreensão ou recuperação de fundos roubados.
- Pelo menos 1.700 BTC foram roubados em várias ondas, de acordo com a estimativa pública mais recente da Galaxy.
- Sementes vulneráveis existentes permanecem inseguras após atualizações de firmware e exigem migração para carteiras recém-geradas.
Alex Thorn, da Galaxy Research, disse que a identidade do atacante da primeira onda "pode ser conhecida pelas autoridades". Sua declaração foi cautelosa, e o FBI não confirmou publicamente a identificação de um suspeito, a abertura de um caso, a realização de uma prisão ou a recuperação de qualquer Bitcoin roubado.
A primeira onda removeu 1.082,65 BTC de carteiras geradas usando firmware Coldcard vulnerável. No preço recente do Bitcoin, perto de US$ 64.000, essas moedas valeriam aproximadamente US$ 69 milhões, não US$ 11,8 milhões.
Block encontrou um rastro fora da cadeia da primeira varredura
O líder de engenharia da Block, Clay Garrett, disse que os investigadores encontraram um padrão incomum nas varreduras on-chain do atacante. O operador supostamente usou uma conta paga em um provedor de dados blockchain não identificado para consultar endereços de origem e realizar atividades relacionadas.
A conta poderia conter registros de pagamento, acesso ou assinante. No entanto, nenhuma evidência pública estabelece quais registros foram retidos, quem controlava a conta ou se o serviço recebeu informações precisas de identificação.
Block também disse que não encontrou evidências de que o provedor tenha auxiliado conscientemente o roubo. A empresa parecia ter fornecido serviços comuns sem saber como as informações seriam usadas.
Identificação do FBI permanece uma possibilidade não confirmada
O relatório da Bitcoin Magazine vinculou a pista investigativa ao FBI, mas nenhuma declaração do FBI confirma a alegação. Nenhuma queixa criminal, acusação, pedido de apreensão ou ação de confisco foi localizada no registro público.
A redação de Thorn é, portanto, importante. Uma identidade que "pode ser conhecida" não é o mesmo que um suspeito verificado ou réu acusado. Os investigadores ainda precisam estabelecer quem operou a conta, quem controlava os endereços de recebimento e se as evidências apoiam acusações criminais.
Os fundos da primeira onda permanecem visíveis nos endereços associados. Como o crypto.news relatou anteriormente, o saldo imóvel do maior atacante não entrou em uma exchange ou mixer conhecido.
Essas moedas não estão congeladas. As transações de Bitcoin não podem ser revertidas ou bloqueadas no nível do protocolo. A recuperação exigiria controle das chaves privadas, devolução voluntária ou uma transferência posterior por meio de um intermediário capaz de cumprir uma ordem de apreensão legal.
Perdas do Coldcard vão além de um único atacante
A página de pesquisa pública mais recente da Galaxy lista perdas de pelo menos 1.700 BTC em várias ondas. Outros totais permanecem mais altos porque os pesquisadores usam diferentes clusters de endereços, padrões de confirmação e relatos de vítimas.
Ondas de roubo posteriores exibiram padrões de transação diferentes. Os pesquisadores, portanto, alertaram que mais de um ator pode ter explorado o espaço de sementes fraco depois que informações sobre a falha se tornaram públicas.
Essa distinção significa que identificar o primeiro operador não resolveria necessariamente todos os roubos. A Galaxy distribuiu endereços suspeitos a investigadores, exchanges e empresas de análise, mas nenhuma agência anunciou uma recuperação.
Em cobertura relacionada, a análise técnica anterior do crypto.news descobriu que o incidente envolveu geração fraca de semente, em vez de comprometimento do protocolo Bitcoin ou acesso físico aos dispositivos.
Usuários vulneráveis ainda devem migrar seus fundos
O aviso da Coinkite diz que os firmwares afetados Mk2 e Mk3 geraram sementes com entropia inadequada a partir da versão 4.0.1. Sementes criadas em certas versões Mk4, Mk5 e Q também foram expostas, embora sua redução de entropia fosse menos severa.
O firmware corrigido impede o mesmo defeito ao gerar novas sementes. Instalar uma atualização não repara uma semente vulnerável existente. Os usuários devem atualizar primeiro, criar uma semente completamente nova e mover seus fundos após verificar uma transação de teste.
O status atual da Coinkite diz que sua postagem técnica formal permanece em andamento. Também diz que verificações independentes direcionadas ocorreram, mas não estabelecem que cada binário de firmware corrigido recebeu uma auditoria completa.
O incidente gerou pedidos de auditorias independentes de hardware. As questões imediatas agora dizem respeito a se as autoridades podem conectar a conta paga a uma pessoa, se os fundos da primeira onda se movem e se os registros judiciais eventualmente confirmam uma investigação.
