Galaxy Research oszacowała, że straty związane z podatnością portfela sprzętowego Coldcard osiągnęły 1596 bitcoinów w potwierdzonych falach ataków i mogą wzrosnąć do około 2055 BTC, czyli prawie 130 milionów dolarów, jeśli podejrzewana czwarta fala zostanie zweryfikowana.
Podsumowanie
- Galaxy Research szacuje, że potwierdzone kradzieże związane z Coldcard osiągnęły 1596 bitcoinów w trzech falach ataków.
- Firma badawcza twierdzi, że straty mogą wzrosnąć do około 2055 bitcoinów o wartości prawie 130 milionów dolarów, jeśli czwarta fala zostanie potwierdzona.
- Śledczy udostępnili potwierdzone adresy atakujących i ofiar amerykańskim organom ścigania, giełdom i grupom dochodzeniowym w cyberprzestrzeni.
- Około 90% skradzionych bitcoinów pozostaje nietkniętych, a dotknięci użytkownicy Coldcard są proszeni o wygenerowanie nowych ziaren portfela i przeniesienie środków.
Galaxy Research poinformowała w poście opublikowanym w poniedziałek na X, że zidentyfikowała 1596 BTC skradzionych z 7300 adresów w trzech potwierdzonych falach ataków, a także 14 mniejszych incydentów bezpieczeństwa związanych z wadą generowania ziarna Coldcard.
Firma badawcza poinformowała, że jej najnowsze szacunki nie obejmują czwartej podejrzewanej fali ataków, ponieważ nie otrzymała jeszcze wystarczającego potwierdzenia od dotkniętych właścicieli portfeli. Jeśli dodatkowa aktywność zostanie zweryfikowana, suma wzrośnie do 2055 BTC, co przy obecnych cenach stanowi około 130 milionów dolarów.
Wcześniejsza analiza blockchain od Galaxy szacowała około 1815,75 BTC przepływających w czterech obserwowanych falach, ale firma podkreśliła wówczas, że liczby pochodzą z analizy on-chain, a nie z potwierdzonych raportów ofiar. Najnowsza aktualizacja zawęża potwierdzone straty, zachowując większe szacunki związane z wciąż niezweryfikowaną czwartą falą.
Dochodzenie w sprawie ataku Coldcard pozostaje aktywne
Galaxy poinformowała, że zidentyfikowała to, co uważa za czwartą skoordynowaną falę kradzieży, ale wciąż czeka na potwierdzenie od ofiar, zanim doda te adresy do swojego potwierdzonego bilansu.
Według firmy badawczej aktywność blockchain sugeruje, że podejrzewana czwarta fala jest „w znacznej mierze złożona” z jednego atakującego, co daje analitykom średnio-wysoką pewność co do tej oceny, mimo pozostałej niepewności co do dotkniętych portfeli.
Alex Thorn, szef badań firmowych Galaxy, po raz pierwszy zwrócił uwagę na potencjalną czwartą falę 3 sierpnia po zidentyfikowaniu wzorców transakcji ściśle odpowiadających wcześniejszym atakom. Jego bieżące szacunki wzrosły później do 448,7 BTC przepływających z 709 potencjalnych adresów ofiar, chociaż Galaxy podkreśliła, że same dane blockchain nie mogą potwierdzić każdej ofiary ani ustalić, czy jeden operator przeprowadził każdą kradzież.
Firma dodała, że jej śledczy nadal udoskonalają mapowanie adresów w miarę uzyskiwania dodatkowych informacji od właścicieli portfeli i innych uczestników dochodzenia.
Wada Coldcard sięga zmiany oprogramowania układowego z 2021 roku
Ataki wynikają z podatności wpływającej na ziarna wygenerowane na urządzeniach Coldcard Mk3, Mk4, Mk5 i Coldcard Q z podatnymi wersjami oprogramowania układowego.
Coinkite ujawniło w zeszłym tygodniu, że wada powstała w marcu 2021 roku podczas integracji nowej biblioteki kryptograficznej z oprogramowaniem układowym. Zamiast generować ziarna portfela za pomocą zamierzonego sprzętowego generatora liczb losowych, dotknięte oprogramowanie układowe błędnie polegało na deterministycznym generatorze pseudolosowym dostarczanym przez MicroPython.
Według przeglądu technicznego Coinkite, sprzętowy generator liczb losowych pozostał aktywny w innym miejscu oprogramowania układowego, co pozwoliło wewnętrznym przeglądom potwierdzić jego obecność bez ujawniania, że tworzenie portfela przełączyło się na inne źródło entropii.
Zespół inżynierów i specjalistów ds. bezpieczeństwa Bitcoin w Block niezależnie doszedł do tych samych wniosków po przeanalizowaniu oprogramowania układowego. Chociaż firma stwierdziła, że nie przeprowadziła pełnych testów empirycznych każdego dotkniętego urządzenia, doszła do wniosku, że podatne oprogramowanie układowe wywoływało deterministyczny fallback MicroPython zamiast sprzętowego generatora liczb losowych STM32 podczas tworzenia ziarna.
Coinkite szacuje, że dotknięte urządzenia Mk2 i Mk3 mogą zapewniać około 40 bitów efektywnej entropii, podczas gdy podatne modele Mk4, Mk5 i Coldcard Q mogą generować około 72 bity zamiast zamierzonych 128 bitów.
Większość skradzionych bitcoinów nie została przeniesiona
Galaxy poinformowało, że śledczy współpracują z amerykańskimi federalnymi organami ścigania, giełdami kryptowalut i grupami dochodzeniowymi w cyberprzestrzeni, udostępniając potwierdzone adresy atakujących i ofiar w miarę rozszerzania się dochodzenia.
Firma badawcza podała, że około 90% skradzionych bitcoinów pozostaje nietkniętych. Dodała, że żadna z monet skradzionych podczas pierwszych trzech potwierdzonych fal ataków nie została przeniesiona od czasu ich przejęcia, co daje śledczym dodatkowy czas na monitorowanie środków.
Galaxy ostrzegło również, że nowi atakujący mogą próbować wykorzystać tę samą lukę, dopóki dotknięte urządzenia są w użyciu. Z tego powodu stwierdzono, że identyfikacja dodatkowych adresów kontrolowanych przez atakujących pozostaje ważna, aby giełdy i władze mogły zareagować, jeśli środki zaczną się przemieszczać.
Wcześniejsza analiza blockchain wykazała, że aktywność ataków przyspieszyła do około 13,8 przeszukiwań portfeli na blok Bitcoin podczas czwartej podejrzewanej fali, w porównaniu z około 0,3 przeszukiwań na blok przed incydentem. Galaxy zaobserwowało również, że większość skradzionych sald została przeniesiona na nowo utworzone adresy zamiast do jednego centralnego portfela zbiorczego, a niektóre środki później przeszły przez transakcje drugiego skoku, co skomplikowało śledzenie w blockchainie.
Firma wcześniej zauważyła, że użytkownicy, którzy nadal kontrolują naruszone portfele, mogą mieć ograniczoną możliwość zastąpienia niepotwierdzonej transakcji kradzieży transakcją z wyższą opłatą w ramach mechanizmu Replace-by-Fee w Bitcoinie, chociaż opcja istnieje tylko przed potwierdzeniem oryginalnej transakcji przez górników i nie daje gwarancji odzyskania środków.
Użytkownicy Coldcard nadal proszeni o wymianę ziaren portfela
Galaxy stwierdziło, że ataki pozostają aktywne i zaleciło dotkniętym użytkownikom Coldcard przeniesienie środków na bezpieczne adresy i utworzenie całkowicie nowych ziaren portfela na urządzeniach z zainstalowaną poprawką.
Coinkite wydało już awaryjne aktualizacje oprogramowania układowego dla wszystkich dotkniętych produktów, w tym wersję 4.2.0 dla urządzeń Mk2 i Mk3, wersję 5.6.0 dla Mk4 i Mk5, wersję 1.5.0Q dla Coldcard Q oraz wydania Edge 6.6.0X i 6.6.0QX. Firma zniszczyła również całe pozostałe zapasy zawierające podatne oprogramowanie układowe.
Według Coinkite, zainstalowanie zaktualizowanego oprogramowania układowego chroni tylko portfele utworzone po poprawce. Istniejące frazy ziarna wygenerowane za pomocą podatnego oprogramowania układowego pozostają narażone i powinny zostać zastąpione.
Firma zaleca wygenerowanie całkowicie nowego ziarna po aktualizacji urządzenia, zweryfikowanie adresu odbiorczego, wysłanie małej transakcji testowej i przeniesienie pozostałego salda dopiero po potwierdzeniu, że test się powiódł.
Coinkite poinformowało również, że portfele utworzone przy użyciu co najmniej 50 uczciwych rzutów prywatną kostką nie są narażone wyłącznie z powodu tego problemu z generowaniem liczb losowych. Chociaż silna fraza BIP-39 dodaje kolejną warstwę bezpieczeństwa, firma nadal zaleca migrację, ponieważ oryginalne podatne ziarno pozostaje słabe.
