Furtul de Bitcoin din portofelele hardware Coldcard compromise este încă în desfășurare, cercetătorii urmărind acum pierderi de aproximativ 88 de milioane de dolari și avertizând că fiecare dispozitiv vulnerabil va fi în cele din urmă golit.

Galaxy Research a declarat sâmbătă că a identificat un al treilea val de furturi, în care au fost extrase 207,73 BTC, ridicând numărul total observat la aproximativ 1.367 BTC – aproximativ 88,6 milioane de dolari – de la 4.585 de adrese. Firma a numit exploitul în desfășurare și a cerut oricui deține fonduri cu o singură semnătură pe un Coldcard să le mute imediat. Galaxy a declarat că a semnalat aproximativ 600 de adrese suspecte ale atacatorilor investigatorilor federali, firmelor de conformitate și investigatorilor cibernetici inter-industriali, mulțumind victimelor care au partajat detaliile tranzacțiilor pentru a ajuta la cartografierea tiparelor on-chain.

„Continuu să investighez și să adaug noi adrese de victime Coldcard și atacatori în baza noastră de date de investigații”, a postat pe X Alex Thorn, șeful de cercetare al Galaxy. „Atacul este în desfășurare – mutați-vă fondurile de pe adresele generate de Coldcard imediat dacă nu ați făcut-o deja.”

Defectul, așa cum a raportat anterior Decrypt, provine dintr-o eroare de construcție a firmware-ului din martie 2021 pe dispozitivele Coinkite, care a făcut ca frazele seed să fie generate cu prea puțină aleatorie, lăsând cheile private ghicibile. Thorn a scris că sustragerile par deliberate și programatice, probabil orchestrate cu un model lingvistic mare, și a avertizat că fiecare adresă Coldcard cu o singură semnătură creată după acea actualizare din 2021 va fi în cele din urmă golită, spunând că este doar o chestiune de timp.

Thorn a remarcat că monedele furate au stat neatinse ani de zile înainte de a fi luate – o latență medie de 3,18 ani – subliniind că victimele erau deținători pe termen lung. Fondurile din cele trei valuri documentate rămân parcate în adresele atacatorilor și nu au fost mutate.

Urmările au provocat un răspuns panicat din partea utilizatorilor afectați, experții în securitate îndemnând la prudență la mutarea fondurilor către noi adrese. Mulți dintre utilizatorii afectați se grăbesc să mute Bitcoin-ul din auto-custodie înapoi pe burse cripto centralizate, cum ar fi Coinbase sau Binance, sau pe adrese proaspăt generate – o inversare a etosului obișnuit al industriei „nu cheile tale, nu monedele tale”.

Pentru unii, avertismentele au venit prea târziu. Antrenorul canadian Jonathan Goodman a declarat într-o postare pe X că 18,25 BTC, în valoare de aproximativ 1,6 milioane de dolari canadieni, au fost sustrași din portofelele sale într-un interval de șapte minute pe 29 iulie, în ciuda faptului că cheile sale se aflau într-o casetă de valori care nu a fost niciodată conectată la internet. „Poate cea mai grea parte a acestei situații este că am făcut totul corect”, a scris el, adăugând că depune plângeri la poliție și la Comisia pentru Valori Mobiliare din Ontario.