Najveći deo bitcoina otetog kroz propust u Coldcard novčanicima i dalje stoji nepomično na adresama napadača. U isto vreme, istražitelji koji prate lanac blokova uočili su da je jedan drugi napadač počeo da provlači manje iznose kroz mikser.
Ukratko
– Najveći poznati napadač kontroliše 1.159 BTC raspoređenih na sedam adresa.
– Nijedan deo tog iznosa nije prošao kroz mikser niti je stigao do prepoznatljivog servisa za isplatu.
– Zaseban napadač poslao je 64 BTC prema mikseru, od čega je u prvom koraku izmiksovano oko 10 BTC.
– Oko 600 označenih adresa prosleđeno je policiji, berzama i analitičkim firmama.
Najveći plen i dalje stoji netaknut
Prema nalazima Galaxy Researcha, najveća pojedinačna krađa povezana sa ranjivošću Coldcarda iznosi 1.159 BTC. Sredstva su i dalje razbijena na sedam adresa vezanih za napadača i nisu se pomerila od prvobitnog pokupljanja.
Analitičari sa naloga Onchain Lens navode da je klaster povezan sa zloupotrebom generatora slučajnih brojeva primio 1.159,42 BTC — u trenutku merenja oko 72,71 milion dolara — sa 870 kompromitovanih adresa. Otada je premešteno svega 0,06 BTC na novu adresu, dok ostatak i dalje stoji na izvornim adresama napadača.
Kompletna krađa odigrala se za 41 minut. Do sada nije zabeležen nijedan prenos sa tih adresa ka berzama, mikserima ili servisima koji se obično koriste za zametanje traga.
Važno je razlikovati dve stvari: ovaj novac nije zamrznut, već samo nepomeren. Bitcoin transakcije se ne mogu zaustaviti na nivou protokola samo zato što je neka adresa označena kao sumnjiva.
Problem za napadača nastaje tek kada pokuša da taj bitcoin pretvori u fiat ili neku drugu imovinu. Policijske agencije, kripto berze i kompanije za analitiku blokčeina do sada su označile oko 600 adresa povezanih sa širom krađom. Svaki prenos ka berzi koja poštuje propise gotovo sigurno bi aktivirao sisteme za nadzor transakcija i zahtev za dodatnim podacima o vlasniku naloga.
Manji napadač već pokušava da zametne trag
Odvojena aktivnost na mreži pokazuje da je drugi napadač počeo da prikriva poreklo dela ukradenih sredstava.
Analitičari su ispratili 64 BTC koji su ušli u tok transakcija povezan sa mikserom. U prvom prolazu izmiksovano je oko 10 BTC, dok se približno 54 BTC vratilo kao kusur. Preostali iznos zatim je izdeljen na izlaze od otprilike 7 BTC, spremne za dalje miksovanje.
Mikseri kombinuju i prestrukturiraju transakcije kako bi vezu između izvora i krajnjeg odredišta učinili težom za rekonstrukciju. To, međutim, ne znači da sredstva postaju nesledljiva.
Analitičari ističu da baš ujednačena veličina izlaza olakšava praćenje ovog pokušaja pranja. Istražitelji mogu nastaviti da posmatraju kretanje bitcoina kroz naredne adrese.
Ova aktivnost izgleda potpuno odvojeno od klastera od sedam adresa na kojima stoji 1.159 BTC. Raniji izveštaji ukazali su na to da je istu slabost novčanika iskoristilo više napadača, pa se pomeranja jednog klastera ne mogu automatski pripisati svakoj krađi povezanoj sa Coldcardom.
Galaxy je ranije evidentirao 1.596 ukradenih BTC
Galaxy Research je ranije potvrdio da su napadači u tri talasa odneli 1.596 BTC sa približno 7.300 adresa, uz još 14 manjih incidenata vezanih za isti propust u generisanju seed fraze.
Postoji sumnja i na četvrti talas, koji bi ukupan iznos podigao na oko 2.055 BTC, ali Galaxy te dodatne gubitke još nije potvrdio dovoljnim brojem prijava oštećenih.
Ranjivost je nastala zbog greške u firmveru koja je oslabila slučajnost pri generisanju seed fraza. Napadači su zbog toga mogli van mreže da rekonstruišu moguće seed kombinacije, iz njih izvedu bitcoin adrese i uporede ih sa adresama vidljivim na lancu blokova.
Za to im nije bio potreban fizički pristup uređajima ni njihovi PIN kodovi. Sam bitcoin protokol nije kompromitovan.
Chainalysis je u svojoj analizi napadača i žrtava utvrdio da kanadski vlasnici bitcoina nose oko 25 odsto gubitaka koji se mogu nekome pripisati, uz procene ukupne štete koje po podacima Galaxy Researcha idu i do 110 miliona dolara.
Coinkite je objavio ispravljen firmver, ali ažuriranje ne može naknadno obezbediti seed frazu napravljenu na ranjivoj verziji. Pogođeni korisnici moraju da generišu potpuno novu seed frazu i prebace bitcoin na adrese izvedene iz nje.
Oporavak sredstava i dalje neizvestan
Galaxy je ranije saopštio da je potvrđene adrese napadača i žrtava podelio sa američkim organima reda, berzama i grupama za sajber istrage. Rastuća lista adresa mogla bi da pomogne vlastima da prepoznaju ukradena sredstva kada napadači pokušaju da ih provuku kroz regulisane servise.
Uprkos tome, povratak bitcoina ostaje neizvestan. Napadač može da provuče sredstva kroz niz adresa, miksere, decentralizovane platforme ili servise van nadležnosti SAD pre nego što uopšte pokuša konverziju.
Najnovija aktivnost prema mikseru istražiteljima daje svež trag koji mogu da prate, dok 1.159 BTC u rukama najvećeg poznatog napadača ostaje pod stalnim javnim nadzorom.
