Крадіжка біткоїнів зі скомпрометованих апаратних гаманців Coldcard все ще триває, дослідники наразі відстежують втрати близько 88 мільйонів доларів і попереджають, що кожен вразливий пристрій зрештою буде спустошений.

Galaxy Research повідомила в суботу, що ідентифікувала третю хвилю крадіжок, під час якої було виведено 207,73 BTC, збільшивши загальну зафіксовану суму до близько 1 367 BTC — приблизно 88,6 мільйона доларів США — з 4 585 адрес. Фірма назвала експлойт таким, що триває, і закликала всіх, хто зберігає кошти з єдиним підписом на Coldcard, негайно їх перемістити. Galaxy заявила, що передала близько 600 підозрюваних адрес зловмисників федеральним слідчим, компаніям з комплаєнсу та міжгалузевим кіберслідчим, висловивши подяку жертвам, які поділилися деталями транзакцій для допомоги у відстеженні он-чейн-схем.

«Я продовжую розслідувати та додавати нові адреси жертв і зловмисників Coldcard до нашої бази даних розслідувань», — написав у X керівник відділу досліджень Galaxy Алекс Торн. «Атака триває — негайно перемістіть свої кошти з адрес, згенерованих Coldcard, якщо ви цього ще не зробили».

Недолік, як раніше повідомляв Decrypt, пов’язаний з помилкою у збірці прошивки від березня 2021 року на пристроях Coinkite, яка призвела до генерації початкових фраз із надто малою випадковістю, залишаючи приватні ключі вразливими для вгадування. Торн написав, що вилучення коштів виглядають навмисними та програмними, ймовірно, організованими за допомогою великої мовної моделі, і попередив, що кожна адреса Coldcard з єдиним підписом, створена після цього оновлення 2021 року, зрештою буде спустошена, заявивши, що це лише питання часу.

Торн зазначив, що викрадені монети роками залишалися недоторканими до їх вилучення — середній період спокою становив 3,18 року — підкреслюючи, що жертви були довгостроковими власниками. Кошти з трьох задокументованих хвиль залишаються припаркованими на адресах зловмисників і не були переміщені.

Наслідки призвели до панічної реакції постраждалих користувачів, при цьому експерти з безпеки закликають бути обережними при переміщенні коштів на нові адреси. Багато постраждалих користувачів поспішають перемістити біткоїни з самостійного зберігання назад на централізовані криптобіржі, такі як Coinbase або Binance, або на щойно згенеровані адреси — це є інверсією звичайного для галузі етосу "не ваші ключі, не ваші монети".

Для деяких попередження надійшли занадто пізно. Канадський тренер Джонатан Гудман повідомив у дописі на X, що 18,25 BTC, вартістю близько 1,6 мільйона канадських доларів, було вилучено з його гаманців протягом семи хвилин 29 липня, незважаючи на те, що його ключі знаходилися в сейфі, який ніколи не підключався до інтернету. «Можливо, найскладніше в цьому те, що я зробив усе правильно», — написав він, додавши, що подає заяви до поліції та Комісії з цінних паперів Онтаріо.