Galaxy Research szacuje obecnie potwierdzone straty z exploitacji Coldcard na ponad 1778 BTC (około 112 milionów dolarów), z podejrzewaną czwartą falą, która podniosłaby je do 2417 BTC.
Po 6 sierpnia nie pojawiła się żadna potwierdzona aktywność atakującego, w trzech głównych falach i ponad 30 mniejszych śladach.
Galaxy rozmawiało bezpośrednio z ponad 190 ofiarami i nadal zaleca posiadaczom Coldcard z pojedynczym podpisem przeniesienie środków na nowe adresy.
Straty w Bitcoinach skradzionych w wyniku masowej exploitacji portfela Coldcard zaczęły zwalniać, ale całkowita ilość przejętych BTC nadal rośnie – a najgorsze może jeszcze nie nadejść.
To najnowsze informacje od Galaxy Research, firmy badawczej zajmującej się kryptowalutami, która śledzi exploitację od samego początku. Firma poinformowała w czwartek, że exploitacja odtworzenia ziarna Coldcard wypompowała już ponad 1778 BTC – około 112 milionów dolarów – a ostateczna liczba będzie prawdopodobnie wyższa.
Galaxy poinformowało, że ma "bardzo wysoką pewność" co do tej sumy, która obejmuje potwierdzone kradzieże przypisane właścicielom od czasu rozpoczęcia ataku 30 lipca, zgodnie z jego bieżącym wątkiem na X.
"Atakujący przeprowadzają ten atak co najmniej od wczesnego ranka 30 lipca 2026 r., systematycznie odtwarzając ziarna wygenerowane przez Coldcard i przeszukując środki w łańcuchu" – napisał Galaxy Research.
Wśród potwierdzonych fal i śladów Galaxy żadna nie wykazuje aktywności po 6 sierpnia. Nie oznacza to, że metoda przestała działać. Oznacza to, że łatwe cele zniknęły.
Większość środków pozostała w dużej mierze nietknięta od czasu kradzieży ofiarom. Z co najmniej 1778 BTC, które zostały skradzione, 1531 BTC pozostaje na adresach kontrolowanych przez atakujących, nietknięte. Około 246 BTC zostało przeniesionych przez atakujących po kradzieży, z czego 65% trafiło do transakcji Coinjoin… pic.twitter.com/OHjJkr1x6D
Aktualizacja oprogramowania układowego z 2021 roku po cichu przekierowała generowanie ziarna Coldcard z układu sprzętowego generatora liczb losowych na programowy zamiennik, zmniejszając siłę klucza ze 128 bitów do zaledwie 40. Atakujący mogli odtworzyć ziarna na podstawie numeru seryjnego urządzenia i stanu zegara, a następnie opróżnić portfele bez uciekania się do phishingu czy złośliwego oprogramowania, a nawet bez fizycznego dostępu do samych urządzeń.
Analiza Galaxy określa największą potwierdzoną falę — Falę 1 — na 1 082,65 BTC wyprowadzonych z 1 195 adresów w pierwszych minutach. To było wówczas około 70,5 miliona dolarów w skradzionym Bitcoinie.
Ślad E, największy potwierdzony przez właściciela klaster, zabrał 209,94 BTC (około 13,3 miliona dolarów) z 2 148 adresów; Fala 3 zabrała 208,24 BTC (blisko 13,0 miliona dolarów) z 1 912. W trzech potwierdzonych falach i 41 mniejszych śladach firma odnotowuje ponad 5 200 opróżnionych adresów. Według stanu na blok 962 304 (dane z 13 sierpnia), 1 499,27 BTC (prawie 93,9 miliona dolarów) pozostawało niewydane w rękach atakujących.
Wśród potwierdzonych fal i śladów działalności atakujących o wysokim poziomie pewności żadna nie miała miejsca po 6 sierpnia. Kolejne ofiary nadal zgłaszają się do Galaxy Research (rozmawialiśmy bezpośrednio z ponad 190), co pomaga nam bezpośrednio przypisywać straty i potwierdzać kolejne ślady, ale żadna… pic.twitter.com/8jEdFdJEog
Z cienkiego wycinka, który Galaxy może prześledzić do końcowego punktu — 174,97 BTC — większość trafiła do rund prywatności coinjoin, a niewielkie kwoty dotarły do KuCoin i Jump Crypto.
Galaxy rozmawiało bezpośrednio z ponad 190 ofiarami, aby przypisać straty. „Zmniejszenie liczby fal ataków jest prawdopodobnie spowodowane tym, że podatni na ataki użytkownicy przenieśli się lub większość środków została już wyprowadzona” — napisano. Firma powtarza swoją radę: „Jeśli nadal przechowujesz środki w portfelu Coldcard z pojedynczym podpisem, zaleca się przeniesienie środków na nowe adresy”.
Ten incydent już skłonił do przeniesienia około 15 miliardów dolarów w Bitcoinie do bezpieczniejszego przechowywania i wywołał ostrzeżenie ze strony Ledger, że bezpieczeństwo portfeli musi dostosować się do odkryć wspomaganych przez sztuczną inteligencję. Również inne firmy produkujące portfele sprzętowe zwróciły uwagę na wzrost phishingu wykorzystujący panikę.
Galaxy nadal niesie kandydata czwartej fali—638,5 BTC, których nie potwierdził—co podniosłoby liczbę do 2 417 BTC, czyli ponad 151,3 miliona dolarów według dzisiejszych cen.
