Uma suspeita de quarta onda de ataques direcionados a carteiras Bitcoin geradas pelo Coldcard pode já estar em andamento, com o pesquisador de blockchain Alex Thorn alertando em 3 de agosto que quase 449 BTC haviam sido varridos de centenas de endereços em cerca de duas horas e meia.
A atividade mais recente, que ainda estava se desenrolando enquanto Thorn postava, segue três ondas anteriores que os pesquisadores vincularam à mesma vulnerabilidade de baixa entropia que afeta certas versões do firmware do Coldcard.
Novas Varridas Continuam
Thorn disse que sua análise mais recente identificou 218 transações afetando 462 endereços de vítimas suspeitas entre os blocos Bitcoin 960778 e 969792. As transações moveram 388,93 BTC, avaliados em cerca de $24,4 milhões nas taxas atuais, para 216 endereços de destino, quase todos os quais haviam sido criados recentemente e não tinham histórico de transações anterior.
“Essas são VÍTIMAS prováveis do Coldcard — elas correspondem ao formato de utxos vulneráveis do coldcard e o padrão elevado de transações me dá alta confiança de que são outra onda de ataque,” ele escreveu.
O analista enfatizou que ainda não tinha confirmação direta das vítimas, razão pela qual ele havia usado deliberadamente “prováveis” por cautela. Ele também corrigiu rapidamente a lista de destinos, removendo seis endereços, que ele disse já estavam recebendo e gastando BTC muito antes do incidente do Coldcard começar em 30 de julho. Os seis representavam pouco mais de 5 BTC da cifra anteriormente calculada.
Além disso, Thorn removeu 89 endereços multisig de sua lista, já que nenhum apareceu nas três primeiras ondas, reduzindo o núcleo sobrevivente para 709 endereços e 448,73 ($28,1 milhões) em transações confirmadas e ainda pendentes.
Ele instou os usuários a moverem imediatamente seus fundos de dispositivos Coldcard afetados e a usarem taxas de transação mais altas, e também alertou que algumas das transações pendentes tinham o Replace-by-Fee, ou RBF, habilitado, o que significa que as vítimas cujas transações ainda estavam na mempool poderiam ter uma chance muito breve de superar o atacante e recuperar seus fundos antes da confirmação.
Ondas Anteriores Ainda Não Gastas
A Galaxy Research estimou que as três primeiras ondas confirmadas drenaram 1.367 BTC, avaliados em cerca de $85,7 milhões, de 4.585 endereços Bitcoin. De acordo com a empresa, esses fundos não foram gastos e ainda estão em carteiras controladas pelo atacante, sugerindo uma operação coordenada em vez de um roubo oportunista.
No entanto, nem todo BTC roubado permaneceu parado. Uma vítima que possuía cerca de 30 BTC teve 17 deles direcionados através do ThorChain para o cassino online Duel, que supostamente disse à vítima para registrar um boletim de ocorrência antes que pudesse considerar um congelamento.
O ataque decorre de uma vulnerabilidade que afeta as sementes geradas em certas versões do firmware do Coldcard lançadas após março de 2021. A Coinkite, fabricante da carteira Coldcard, confirmou que as sementes criadas em dispositivos Mk3, Mk4, Mk5 e Q afetados estão expostas, e embora o firmware mais recente corrigido tenha resolvido o problema para sementes futuras, não pode proteger as antigas. Também afirmou que destruiu todo o estoque vulnerável restante, interrompeu os envios e está trabalhando com clientes e autoridades policiais enquanto tentam identificar os responsáveis pelo roubo.
Além disso, a empresa aconselhou os usuários a migrar imediatamente para uma nova semente em um dispositivo não afetado, com Thorn apontando que cada endereço Coldcard de assinatura única gerado sob as condições vulneráveis acabará sendo drenado.
Fonte: CryptoPotato
