قد يكون المحققون قد زودوا السلطات الأمريكية بمعلومات قادرة على تحديد هوية المهاجم المسؤول عن الموجة الأولى من سرقات Coldcard، حسبما أفادت مجلة Bitcoin Magazine في 18 أغسطس.
قال أليكس ثورن من Galaxy Research إن هوية مهاجم الموجة الأولى "قد تكون معروفة لجهات إنفاذ القانون". كان بيانه حذرًا، ولم يؤكد مكتب التحقيقات الفيدرالي علنًا تحديد المشتبه به أو فتح قضية أو اعتقال أو استرداد أي بيتكوين مسروق.
أزالت الموجة الأولى 1,082.65 بيتكوين من المحافظ التي تم إنشاؤها باستخدام برامج Coldcard الثابتة المعرضة للخطر. بسعر البيتكوين الأخير الذي يقترب من 64,000 دولار، ستبلغ قيمة تلك العملات حوالي 69 مليون دولار، وليس 11.8 مليون دولار.
قال كلي غاريت، رئيس الهندسة في Block، إن المحققين عثروا على نمط غير عادي في عمليات سحب المهاجم على السلسلة. يُزعم أن المشغل استخدم حسابًا مدفوعًا لدى مزود بيانات بلوكتشين غير مسمى للاستعلام عن العناوين المصدرية وإجراء أنشطة ذات صلة.
اتصلت Block بالمزود، الذي ذكرت سجلاته الداخلية أنها تطابقت مع عدد وتوقيت وتسلسل الطلبات المشتبه بها "بخصوصية غير عادية". قال غاريت إن Block مررت المعلومات ذات الصلة إلى السلطات المختصة.
يمكن أن يحتوي الحساب على سجلات دفع أو وصول أو مشتركين. ومع ذلك، لا يوجد دليل عام يثبت السجلات التي تم الاحتفاظ بها، أو من يتحكم في الحساب، أو ما إذا كانت الخدمة قد تلقت معلومات تعريف دقيقة.
كما قالت Block إنها لم تعثر على أي دليل على أن المزود ساعد في السرقة عن علم. بدا أن الشركة قدمت خدمات عادية دون معرفة كيفية استخدام المعلومات.
ربط تقرير Bitcoin Magazine الخيط الاستقصائي بمكتب التحقيقات الفيدرالي، لكن لا يوجد بيان من مكتب التحقيقات الفيدرالي يؤكد هذا الادعاء. لم يتم العثور على شكوى جنائية أو لائحة اتهام أو ملف مصادرة أو إجراء حجز في السجل العام.
لذلك فإن صياغة ثورن مهمة. فالهوية التي "قد تكون معروفة" ليست هي نفسها المشتبه به المؤكد أو المتهم الموجهة إليه تهم. يجب على المحققين أن يحددوا من أدار الحساب، ومن تحكم في العناوين المستقبلة، وما إذا كانت الأدلة تدعم اتهامات جنائية.
تظل أموال الموجة الأولى مرئية في العناوين المرتبطة. كما ذكرت crypto.news سابقًا، لم يدخل الرصيد غير المتحرك لأكبر مهاجم أي بورصة أو خلاط معروف.
تلك العملات ليست مجمدة. لا يمكن عكس معاملات البيتكوين أو حظرها على مستوى البروتوكول. سيتطلب الاسترداد التحكم في المفاتيح الخاصة، أو العودة الطوعية، أو نقلًا لاحقًا عبر وسيط قادر على الامتثال لأمر مصادرة قانوني.
تسرد صفحة أبحاث Galaxy العامة الأخيرة خسائر لا تقل عن 1,700 بيتكوين عبر موجات متعددة. تظل الإجماليات الأخرى أعلى لأن الباحثين يستخدمون مجموعات عناوين مختلفة ومعايير تأكيد وتقارير ضحايا.
أظهرت موجات السرقة اللاحقة أنماط معاملات مختلفة. لذا حذر الباحثون من أن أكثر من طرف واحد ربما استغل مساحة البذور الضعيفة بعد أن أصبحت المعلومات حول الثغرة علنية.
هذا التمييز يعني أن تحديد المشغل الأول لن يحل بالضرورة كل عملية سرقة. قامت Galaxy بتوزيع العناوين المشتبه بها على المحققين والبورصات وشركات التحليلات، لكن لم تعلن أي وكالة عن استرداد.
في تغطية ذات صلة، وجدت المراجعة الفنية السابقة لـ crypto.news أن الحادث تضمن توليد بذور ضعيفة بدلاً من اختراق بروتوكول البيتكوين أو الوصول المادي إلى الأجهزة.
يشير إشعار Coinkite إلى أن البرامج الثابتة المتأثرة Mk2 و Mk3 ولّدت بذورًا ذات إنتروبيا غير كافية بدءًا من الإصدار 4.0.1. كما تعرضت البذور التي تم إنشاؤها على بعض إصدارات Mk4 و Mk5 و Q، على الرغم من أن انخفاض الإنتروبيا فيها كان أقل حدة.
يمنع البرنامج الثابت المُصلح نفس العيب عند إنشاء بذور جديدة. تثبيت التحديث لا يصلح بذرة موجودة معرضة للخطر. يجب على المستخدمين التحديث أولاً، وإنشاء بذرة جديدة تمامًا، ونقل أموالهم بعد التحقق من معاملة اختبار.
يشير الوضع الحالي لـ Coinkite إلى أن مراجعتها الفنية الرسمية بعد الحادث لا تزال قيد التقدم. كما تقول إن الفحوصات المستقلة المستهدفة قد حدثت ولكنها لا تثبت أن كل ملف ثنائي للبرامج الثابتة المُصلحة قد خضع لتدقيق كامل.
لقد دفع الحادث إلى دعوات لإجراء تدقيقات مستقلة للأجهزة. وتتعلق الأسئلة المباشرة الآن بما إذا كان يمكن للسلطات ربط الحساب المدفوع بشخص، وما إذا كانت أموال الموجة الأولى ستتحرك، وما إذا كانت سجلات المحكمة ستؤكد في النهاية إجراء تحقيق.
