Согласно отчёту Galaxy Research, ущерб от продолжающегося эксплойта аппаратных кошельков Coldcard превысил $100 млн. Исследователи идентифицировали 1596 похищенных биткоинов в трёх подтверждённых волнах атак, затронувших примерно 7300 адресов. Ещё одна предполагаемая волна может увеличить общие потери до 2055 BTC — это почти $130 млн по текущему курсу.
Первая атака была зафиксирована 31 июля инженерами Block, когда за четыре блока хакер вывел 594,5 BTC с примерно 500 адресов. Позднее, опираясь на сообщения пострадавших, аналитики подтвердили участие тех же злоумышленников во второй и третьей волнах. Отмечается, что примерно 90% украденных монет так и остались лежать без движения, а все средства из трёх подтверждённых волн до сих пор находятся под контролем атакующего.
Galaxy Research уже передала подтверждённые адреса преступников и жертв федеральным правоохранительным органам США, биржам, комплаенс-фирмам и компаниям, занимающимся киберрасследованиями. Пользователям Coldcard рекомендовано перевести средства на новый seed, к хранителю или биржу.
Уязвимость связана с недостаточной энтропией при генерации seed-фраз на устройствах Mk3, Mk4, Mk5 и Q с прошивкой, выпущенной после марта 2021 года. Вместо надёжных 128 бит энтропии устройства создавали фразы всего с 72 битами, что делает их подбор вычислительно возможным. Производитель Coinkite уже исправил ошибку в новых версиях прошивки, но исправить уже сгенерированные уязвимые seed невозможно.
Рыночный комментатор Джо Консорти подчеркнул, что инцидент демонстрирует сильную сторону биткоина: движение украденных монет остаётся полностью прозрачным для аналитиков и правоохранителей. «Вору будет очень трудно потратить большую часть добычи. Каждая монета находится на виду, её отслеживают Galaxy, ФБР и тысячи других наблюдателей», — написал он. Некоторые эксперты, впрочем, полагают, что злоумышленник может попытаться замести следы с помощью миксеров, Taproot-транзакций и Lightning Network. Несмотря на масштаб кражи, цена BTC практически не отреагировала: на момент написания новости биткоин торговался около $64 000, прибавив 2% за сутки.
