Эксплойт аппаратного кошелька Coldcard привел к краже как минимум 1 596 BTC примерно с 7 300 адресов, поскольку пользователи продолжают выводить средства из потенциально уязвимых кошельков.
Galaxy Research сообщила, что подтвержденные потери произошли в результате трех крупных волн атак и 14 более мелких инцидентов.
Фирма также выявила возможную четвертую волну, которая может увеличить общую сумму до 2 055 BTC (около $130 млн), но пока не включила эти адреса в подтвержденную оценку в ожидании дополнительных сообщений от пострадавших.
Как минимум 73 пострадавших обратились к главе исследовательского отдела Galaxy Алексу Торну за помощью в отслеживании своих биткоинов. Эти сообщения помогли исследователям выявить дополнительные схемы атак и сделать вывод, что уязвимость могут эксплуатировать как минимум 15 злоумышленников.
Около 90% украденных биткоинов не перемещались, а все монеты, связанные с первыми тремя подтвержденными волнами, остаются на исходных адресах, контролируемых злоумышленниками.
Galaxy передала выявленные адреса правоохранительным органам США, криптовалютным биржам и компаниям, занимающимся расследованиями в блокчейне, чтобы средства можно было пометить, если злоумышленники попытаются переместить их через централизованные платформы.
Кражи связаны с ошибкой в прошивке Coldcard, датируемой мартом 2021 года. Ошибка в коде привела к тому, что некоторые устройства генерировали сид-фразы восстановления с использованием более слабого программного процесса вместо получения достаточной случайности от аппаратного генератора случайных чисел.
Ошибка привела к тому, что некоторые сид-фразы имели гораздо меньше возможных комбинаций, чем предполагалось, что позволило злоумышленникам удаленно восстановить закрытые ключи без получения устройства или слов восстановления владельца. Обновление прошивки предотвращает создание дополнительных слабых сид-фраз, но не может защитить кошелек, чья фраза восстановления уже была сгенерирована через ошибочный процесс.
Производитель Coldcard, компания Coinkite, призвал пользователей установить обновление безопасности, создать новую сид-фразу и перевести свои биткоины. Угроза остается активной, поскольку каждый затронутый кошелек остается уязвимым, пока его средства не будут перемещены на адрес, сгенерированный из безопасной сид-фразы.
Миграции Coldcard подняли активность биткоина до многомесячных максимумов
Эта гонка по замене скомпрометированных сид-фраз теперь заметна в сети биткоина, где активность выросла до уровней, наблюдавшихся в предыдущие периоды рыночного стресса.
Данные Santiment показали 712 000 активных адресов биткоина за последние семь дней — максимум за три месяца. Транзакции на сумму более $100 000 за тот же период достигли 61 800 — пятимесячный максимум.
CryptoQuant заявила, что кризис Coldcard стал основным катализатором роста, поскольку пострадавшие пользователи перемещали монеты в новые кошельки, консолидировали балансы или переводили средства на кастодиальные платформы.
В отчете, предоставленном CryptoSlate, фирма сообщила, что транзакции стоимостью ниже $100 000 достигли $3,2 млрд — самого высокого уровня с ноября 2024 года.
В то же время расходы долгосрочных держателей вне бирж выросли до 406 000 BTC за 30-дневный период по состоянию на 3 августа — с 269 000 BTC до эксплойта, что является самым высоким уровнем с января.
Эти перемещения не обязательно означают, что держатели продают. Перевод с уязвимого адреса Coldcard на новый защищенный кошелек отображается в цепочке как потраченный биткоин, даже если право собственности не изменилось.
Примечательно, что ажиотаж также перегрузил сеть. Количество транзакций, ожидающих в mempool биткоина, увеличилось примерно с 33 000 до 96 000 — самый высокий уровень с 20 июня, поскольку тысячи держателей одновременно пытались переместить средства.
Приток на биржи растет, поскольку фишинг нацелен на миграции кошельков
Часть миграции направилась на централизованные биржи, поскольку пользователи ищут немедленное место назначения для биткоинов, выведенных из уязвимых кошельков.
CryptoQuant сообщила, что депозиты от мелких держателей достигли самого высокого уровня с 6 февраля. Некоторые пользователи, похоже, перевели средства на существующие кастодиальные счета, решая, создать ли еще один кошелек для самостоятельного хранения или сменить поставщика оборудования.
Согласно данным фирмы, общие резервы бирж увеличились примерно на 17 500 BTC в период с 28 июля по 3 августа, поднявшись с примерно 2,702 млн BTC до 2,719 млн BTC. Binance получила около 51% чистого прироста, а ее резервы выросли примерно на 9 000 BTC до 659 000 BTC.
Приток увеличивает количество биткоинов, доступных для немедленной торговли, и может усилить краткосрочное давление со стороны продавцов. Однако это не доказывает, что держатели намерены продавать.
Это связано с тем, что некоторые депозиты могут представлять собой временные меры хранения, пока пользователи заменяют скомпрометированные сид-фразы и тестируют новые кошельки.
Тем временем другие держатели пытаются сохранить прямой контроль, генерируя новые фразы восстановления и переводя свои биткоины в новые кошельки для самостоятельного хранения. Этот процесс создал еще одну лазейку для преступников, распространяющих мошеннические инструкции по миграции и выдающих себя за службы поддержки кошельков.
Trezor, конкурирующий производитель аппаратных кошельков, предупредил, что после раскрытия уязвимости Coldcard количество фишинговых попыток возросло.
Фирма посоветовала пользователям никогда не сообщать свои сид-фразы восстановления и не вводить их на веб-сайтах, в приложениях или формах, полученных через нежелательные сообщения.
Компания заявила, что слова восстановления следует вводить только непосредственно на устройстве Trezor при восстановлении кошелька. Она также призвала пользователей игнорировать инструкции по миграции, полученные по электронной почте, в сообщениях или по телефону, и подтвердила, что ее устройства не пострадали от инцидента с Coldcard.
Это предупреждение отражает трудности, с которыми сталкиваются пострадавшие пользователи. Они должны переместить свои биткоины до того, как злоумышленники восстановят их закрытые ключи, избегая при этом мошенников, пытающихся напрямую получить слова восстановления.
Импорт существующей слабой сид-фразы на другое устройство не устраняет уязвимость. Пользователи должны сгенерировать совершенно новую фразу восстановления и перевести средства на адрес, полученный из нее, — это более сложный процесс, чем установка обновления прошивки или восстановление обычного кошелька.
Мошенники могут воспользоваться этой сложностью, направляя пользователей на мошеннические приложения, запрашивая слова восстановления для якобы проверки безопасности или предоставляя адрес, который они выдают за безопасный.
ETF получают преимущество в дискуссии о хранении биткоина
Движение в сторону бирж и растущий риск, связанный с миграцией кошельков, укрепили аргументы в пользу хранения биткоина через регулируемые инвестиционные продукты.
Аналитик Bloomberg Intelligence по ETF Эрик Балчунасзаявил, что взлом Coldcard может побудить некоторых инвесторов, включая долгосрочных держателей, перейти на спотовые биржевые фонды биткоина.
Сторонники биткоина традиционно критиковали ETF, поскольку инвесторы не контролируют базовые монеты или закрытые ключи. Вместо этого институциональные кастодианы хранят активы от имени фондов.
Балчунас сказал, что такая схема теперь может показаться более привлекательной по сравнению с зависимостью от небольшого производителя аппаратных кошельков. Эмитенты ETF и их кастодианы — крупные финансовые учреждения с многолетним опытом защиты активов клиентов, тогда как Coldcard управляется канадской компанией с небольшим штатом сотрудников.
Институциональное хранение не исключает возможности кражи или операционного сбоя. Балчунас сказал, что успешная атака на кастодиана ETF, вероятно, вызовет немедленное регуляторное расследование и скоординированный ответ с участием управляющего фондом, кастодиана и правоохранительных органов.
Нет доказательств того, что пользователи Coldcard напрямую купили акции ETF в результате эксплойта. Увеличение депозитов на биржах также может оказаться временным, поскольку держатели создают новые кошельки и возвращаются к самостоятельному хранению.
Тем не менее, взлом изменил расчеты для инвесторов, решающих, где хранить свои биткоины. Самостоятельное хранение устраняет зависимость от банка, биржи или управляющего фондом, но также оставляет пользователей ответственными за оборудование и программное обеспечение, создающие их закрытые ключи.
Для держателей, которые сейчас пытаются избавиться от слабых сид-фраз, избегая фишинговых атак, институциональная структура, которую когда-то критиковали за передачу биткоина в руки Уолл-стрит, может предложить более простой вариант.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Oluwapelumi Adejumo
