L’hacker di Coldcard sposta 7,7 milioni di dollari in bitcoin
Galaxy Research vede che l’attaccante ha usato THORChain e CoinJoin per nascondere le tracce. Coldcard ha già rilasciato una correzione del firmware, ma gli utenti colpiti devono creare nuovi seed.
In breve
- L’hacker dietro la terza ondata di furti da Coldcard ha spostato 97,09 BTC, per un valore di circa $7,7 milioni, tramite due percorsi diversi.
- Galaxy Research ha segnalato che l’attaccante ha spostato bitcoin tramite THORChain, CoinJoin e più vault, rendendo più difficile seguire il flusso di denaro.
- Il problema era nel firmware di Coldcard, che generava seed deboli; gli utenti colpiti devono creare nuovi seed e spostare i propri fondi.
L’hacker dietro la terza ondata di furti dai hardware wallet Coldcard ha spostato 97,09 BTC, per un valore di circa $7,7 milioni (€6,6 milioni), tramite due percorsi diversi. Si tratta di quasi il 45% dei bitcoin sottratti in questa ondata di attacchi, secondo Galaxy Research.
Spostamenti tramite THORChain
Galaxy ha detto che l’attaccante il 2 settembre ha inviato circa 20,5 BTC dal vault più grande attraverso THORChain, dopo di che il ricavato è finito su Ethereum. Due giorni dopo sono seguiti 15,48 BTC dal secondo vault più grande tramite una transazione CoinJoin. Il 6 settembre sono stati spostati altri 61,12 BTC da dieci vault.
CoinJoin raggruppa le transazioni bitcoin di più utenti, rendendo più difficile collegare input specifici a output successivi. Questo rende più complicato per i ricercatori seguire il flusso di denaro, soprattutto quando vengono usati più percorsi insieme.
Cosa ha visto Galaxy
Secondo Galaxy, l’attaccante sta svuotando i 293 vault in ordine di dimensione e finora sono stati svuotati i 11 più grandi. I successivi 10 vault contengono ancora in totale 30,81 BTC, mentre i vault da 61 a 293 detengono insieme 33,77 BTC. Galaxy ha anche sottolineato che questi vault non appartengono alle vittime stesse, ma sono stati creati dall’attaccante con una configurazione multisignature two-of-two.
L’azienda ha inoltre detto che un vault precedentemente non identificato, alimentato da 58 indirizzi, è probabilmente collegato a un’altra vittima di Coldcard, anche se questo non è ancora confermato. Se quel vault viene conteggiato, la Wave 3 arriva a 294 vault e l’exploit più ampio sale a circa 1.806 BTC, per un valore di circa $143,9 milioni (€124 milioni).
Perché è importante per gli utenti
Il caso mostra quanto possano essere vulnerabili gli hardware wallet quando la generazione del seed non funziona bene. Il problema era nel firmware di Coldcard, che indeboliva la casualità del seed, permettendo agli attaccanti di ricostruire offline le chiavi private. Coinkite ha già rilasciato un firmware corretto, ma avverte che gli utenti colpiti devono creare nuovi seed e spostare i propri fondi, perché un aggiornamento da solo non ripristina i seed già compromessi.
Galaxy ha anche detto che circa l’82% dei bitcoin sottratti in tutte le ondate si trova ancora su indirizzi controllati dall’attaccante. Circa il 18% è stato spostato in transazioni pensate per nascondere l’origine dei fondi.
