Galaxy Research podnosi szacunki strat w incydencie Coldcard do 70 mln USD

Galaxy Research, dział analityczny Galaxy Digital, rozszerzył ocenę skali incydentu związanego z portfelami Coldcard. Zespół zidentyfikował 1"196 adresów Bitcoina powiązanych ze zdarzeniem i ustalił, że w ciągu 41 minut z tych adresów wypłynęło łącznie 1"082,65 BTC. W momencie realizacji transakcji wartość ta odpowiadała ok. 70,2 mln USD. Analiza obejmuje ruchy on-chain z 30 lipca w godzinach 1:10–1:51 UTC, w blokach 960"183–960"191. Okno to przypada mniej więcej 30 godzin przed publikacją pierwszego komunikatu bezpieczeństwa Coldcard, co sugeruje, że środki zostały przeniesione bardzo wcześnie, a reakcja informacyjna nastąpiła z opóźnieniem. Galaxy Research wskazuje, że transakcje mają charakterystyczny wzorzec: identyczną opłatę 30 satoshi za wirtualny bajt oraz brak wyjść "reszty" (change outputs). Taki "odcisk palca" ułatwia klastrowanie powiązanej aktywności i ogranicza ryzyko błędnego przypisywania niepowiązanych transferów. Zastrzeżono jednak, że ewentualne późniejsze "sweeps" mogą nie powielać tych samych parametrów, więc szacunki oparte wyłącznie na jednym schemacie mogą zaniżać pełną skalę zdarzenia. Wcześniejsze, węższe wyliczenia były niższe. Rob Hamilton, CEO i współzałożyciel AnchorWatch, szacował wcześniej przepływ 594,48 BTC (ok. 38 mln USD w tamtym czasie) w ok. 500 transakcjach w trzyblokowym oknie. Nowe ustalenia Galaxy Research poszerzają zarówno listę adresów, jak i ramy czasowe, niemal podwajając wolumen BTC przypisywany szybkiemu "wymiotowi" środków. Producent Coldcard, firma Coinkite, przyznał istnienie błędu w firmware. W piątkowym wpisie na platformie X współzałożyciel Rodolfo Novak poinformował, że spółka pracuje nad pełnym określeniem skali problemu oraz opublikowała hotfix usuwający ścieżkę awaryjną w oprogramowaniu. Jednocześnie podkreślono ograniczenie aktualizacji: nie zabezpiecza ona fraz seed wygenerowanych na podatnej wersji firmware. W praktyce użytkownikom, którzy tworzyli seedy w okresie narażenia, zalecono migrację środków na nowy seed. Z perspektywy bezpieczeństwa oznacza to, że sama aktualizacja urządzenia nie "naprawia wstecz" ryzyka już wygenerowanych kluczy — konieczny jest transfer na nowe, bezpieczne dane kluczowe. Galaxy Research zaznacza, że rozpoznany wzorzec transakcyjny porządkuje dalsze śledzenie aktywności, ale zmiana taktyki atakujących może utrudnić identyfikację kolejnych fal. Użytkownicy, którzy podejrzewają, że mogli wygenerować seed na podatnym firmware, powinni przede wszystkim przenieść pozostałe salda na nowe seedy i monitorować ewentualne dalsze ruchy na adresach powiązanych z incydentem.