Una sospetta quarta ondata di attacchi mirati a portafogli Bitcoin generati da Coldcard vulnerabili potrebbe già essere in corso, con il ricercatore blockchain Alex Thorn che ha avvertito il 3 agosto che quasi 449 BTC erano stati prelevati da centinaia di indirizzi in circa due ore e mezza.
L'ultima attività, che era ancora in corso mentre Thorn pubblicava, segue tre ondate precedenti che i ricercatori hanno collegato alla stessa vulnerabilità di bassa entropia che colpisce alcune versioni del firmware di Coldcard.
Nuovi prelievi continuano
Thorn ha dichiarato che la sua ultima analisi aveva identificato 218 transazioni che interessavano 462 indirizzi di vittime sospette tra i blocchi Bitcoin 960778 e 969792. Le transazioni hanno spostato 388,93 BTC, valutati circa 24,4 milioni di dollari ai tassi attuali, in 216 indirizzi di destinazione, quasi tutti appena creati e senza una storia di transazioni passate.
“Questi sono PROBABILMENTE vittime di Coldcard — corrispondono alla forma degli utxo vulnerabili di coldcard e il modello di transazione elevato mi dà alta fiducia che siano un'altra ondata di attacco,” ha scritto.
L'analista ha sottolineato di non avere ancora conferme dirette dalle vittime, motivo per cui aveva deliberatamente usato “probabilmente” per cautela. Ha anche rapidamente corretto l'elenco delle destinazioni, rimuovendo sei indirizzi, che ha detto stavano già ricevendo e spendendo BTC molto prima che l'incidente di Coldcard iniziasse il 30 luglio. I sei rappresentavano poco più di 5 BTC della cifra precedentemente calcolata.
Inoltre, Thorn ha rimosso 89 indirizzi multisig dalla sua lista, poiché nessuno era apparso nelle prime tre ondate, portando il nucleo sopravvissuto a 709 indirizzi e 448,73 ($28,1 milioni) tra transazioni confermate e ancora in attesa.
Ha esortato gli utenti a spostare immediatamente i propri fondi dai dispositivi Coldcard interessati e a utilizzare commissioni di transazione più elevate, e ha anche avvertito che alcune delle transazioni in attesa avevano l'opzione Replace-by-Fee, o RBF, attivata, il che significa che le vittime le cui transazioni erano ancora nel mempool potrebbero avere una possibilità molto breve di superare l'attaccante e reclamare i propri fondi prima della conferma.
Onde precedenti ancora non spese
Galaxy Research ha stimato che le prime tre onde confermate hanno drenato 1.367 BTC, valutati circa 85,7 milioni di dollari, da 4.585 indirizzi Bitcoin. Secondo l'azienda, quei fondi non sono stati spesi e sono ancora in portafogli controllati dagli attaccanti, suggerendo un'operazione coordinata piuttosto che un furto opportunistico.
Tuttavia, non tutti i BTC rubati sono rimasti fermi. Una vittima che deteneva quasi 30 BTC ha avuto 17 di essi instradati attraverso ThorChain nel casinò online Duel, che ha riferito alla vittima di presentare una denuncia alla polizia prima di poter considerare un congelamento.
L'attacco deriva da una vulnerabilità che colpisce i seed generati su determinate versioni del firmware Coldcard rilasciate dopo marzo 2021. Coinkite, il produttore del portafoglio Coldcard, ha confermato che i seed creati su dispositivi Mk3, Mk4, Mk5 e Q colpiti sono esposti, e sebbene il nuovo firmware corretto abbia fermato il problema per i seed futuri, non può proteggere quelli vecchi. Ha anche dichiarato di aver distrutto tutto l'inventario vulnerabile rimanente, di aver bloccato le spedizioni e di stare collaborando con i clienti e le forze dell'ordine mentre cercano di identificare i responsabili del furto.
Inoltre, l'azienda ha consigliato agli utenti di migrare immediatamente a un nuovo seed su un dispositivo non colpito, con Thorn che ha sottolineato che ogni indirizzo Coldcard a firma singola generato nelle condizioni vulnerabili verrà eventualmente prosciugato.
Fonte: CryptoPotato
