Атаки на гаманці Coldcard: ймовірна четверта хвиля, під загрозою близько 449 BTC

Ймовірна четверта хвиля атак на вразливі біткоїн-гаманці, згенеровані Coldcard, могла вже розпочатися. Дослідник блокчейна Алекс Торн 3 серпня повідомив, що приблизно за дві з половиною години з сотень адрес було виведено майже 449 BTC. Поточна активність, яка ще тривала на момент його допису, йде слідом за трьома попередніми хвилями, які дослідники пов'язують з однією і тією ж проблемою низької ентропії, що зачіпає окремі версії прошивки Coldcard. За словами Торна, останній аналіз виявив 218 транзакцій, які торкнулися 462 імовірних адрес-жертв між біткоїн-блоками 960778 і 969792. У цих транзакціях 388,93 BTC (близько $24,4 млн за поточним курсом) було переміщено на 216 адрес-одержувачів. Майже всі вони були щойно створені й не мали історії транзакцій. "Це, ЙМОВІРНО, жертви Coldcard — вони відповідають профілю вразливих UTXO Coldcard, а підвищена транзакційна активність дає мені високу впевненість, що це ще одна хвиля атаки", — написав він, уточнивши, що поки не має прямого підтвердження від постраждалих, тому свідомо вживає формулювання "ймовірно". Згодом Торн оперативно скоригував перелік адрес призначення, прибравши шість адрес, які, за його словами, отримували й витрачали BTC задовго до початку інциденту з Coldcard 30 липня. На ці шість адрес припадало трохи більше 5 BTC від раніше озвученої суми. Крім того, він виключив зі списку 89 multisig-адрес, оскільки в перших трьох хвилях таких адрес не фіксували. Після цього "ядро" списку становить 709 адрес і 448,73 BTC (близько $28,1 млн) з урахуванням як підтверджених, так і ще непідтверджених транзакцій. Торн закликав користувачів негайно вивести кошти з уражених пристроїв Coldcard і виставляти вищі комісії. Він також попередив, що частина непідтверджених транзакцій має увімкнений Replace-by-Fee (RBF). Це означає: якщо транзакція жертви досі перебуває в мемпулі, може залишатися дуже короткий шанс підвищити комісію й "перебити" атаку, повернувши контроль над коштами до підтвердження. Оцінка Galaxy Research свідчить, що три перші підтверджені хвилі вивели 1 367 BTC (приблизно $85,7 млн) з 4 585 біткоїн-адрес. За даними компанії, ці кошти не були витрачені й досі зберігаються на гаманцях, які контролює зловмисник, що більше схоже на скоординовану операцію, ніж на випадкову крадіжку. Втім, не всі викрадені BTC залишилися без руху. У одного потерпілого, який мав майже 30 BTC, 17 BTC були переведені через ThorChain до онлайн-казино Duel. Як повідомляється, казино порадило подати заяву до поліції, перш ніж розглядати можливість заморозки. Проблема пов'язана з вразливістю, яка зачіпає сіди, згенеровані на певних версіях прошивки Coldcard, випущених після березня 2021 року. Coinkite, виробник Coldcard, підтвердила, що сіди, створені на уражених пристроях Mk3, Mk4, Mk5 і Q, піддаються ризику. Хоча новіші версії прошивки з виправленням запобігають проблемі для майбутніх сідів, вони не можуть захистити старі. Компанія також заявила, що знищила всі залишки вразливого товарного запасу, зупинила відвантаження та співпрацює з клієнтами й правоохоронними органами для встановлення винних. Окремо Coinkite радить негайно мігрувати на новий сід, створений на неураженому пристрої. Торн підкреслив, що кожна single-signature адреса Coldcard, згенерована за вразливих умов, зрештою буде спустошена. Матеріал "Coldcard Wallet Attacks Enter Fourth Wave, Putting 449 BTC at Risk" уперше опублікував CryptoPotato.