समझौता किए गए कोल्डकार्ड हार्डवेयर वॉलेट से बिटकॉइन की चोरी अभी भी जारी है, शोधकर्ता अब लगभग $88 मिलियन के नुकसान को ट्रैक कर रहे हैं और चेतावनी दे रहे हैं कि हर कमजोर डिवाइस को अंततः खाली कर दिया जाएगा।

गैलेक्सी रिसर्च ने शनिवार को कहा कि उसने चोरी की तीसरी लहर की पहचान की है, जिसमें 207.73 BTC निकाल लिए गए थे, जिससे 4,585 पतों पर इसका कुल अवलोकन 1,367 BTC — लगभग $88.6 मिलियन — तक पहुंच गया है। फर्म ने इस एक्सप्लॉइट को जारी बताया और कोल्डकार्ड पर सिंगल-सिग्नेचर फंड रखने वाले किसी भी व्यक्ति से उन्हें तुरंत स्थानांतरित करने का आग्रह किया। गैलेक्सी ने कहा कि उसने लगभग 600 संदिग्ध हमलावर पतों को संघीय जांचकर्ताओं, अनुपालन फर्मों और क्रॉस-इंडस्ट्री साइबर जांचकर्ताओं को चिह्नित किया है, उन पीड़ितों को श्रेय दिया जिन्होंने ऑन-चेन पैटर्न को मैप करने में मदद के लिए लेनदेन विवरण साझा किए थे।

गैलेक्सी के शोध प्रमुख एलेक्स थॉर्न ने X पर पोस्ट किया, "मैं अपनी जांच डेटाबेस में नए कोल्डकार्ड पीड़ित और हमलावर पते की जांच करना और जोड़ना जारी रखूंगा।" "हमला जारी है - यदि आपने ऐसा नहीं किया है, तो अपने फंड को कोल्डकार्ड-जनरेट किए गए पतों से तुरंत हटा दें।"

जैसा कि डिक्रिप्ट ने पहले बताया था, यह खामी कॉइनकाइट के उपकरणों पर मार्च 2021 के फर्मवेयर बिल्ड त्रुटि से उत्पन्न हुई है, जिसके कारण सीड वाक्यांश बहुत कम रैंडमनेस के साथ उत्पन्न हुए, जिससे निजी कुंजियों का अनुमान लगाना संभव हो गया। थॉर्न ने लिखा कि ये चोरी जानबूझकर और प्रोग्रामेटिक लगती हैं, संभवतः एक बड़े भाषा मॉडल द्वारा ऑर्केस्ट्रेट की गई हैं, और चेतावनी दी कि 2021 के उस अपडेट के बाद बनाए गए हर सिंगल-सिग कोल्डकार्ड पते को अंततः खाली कर दिया जाएगा, यह कहते हुए कि यह केवल समय की बात है।

थॉर्न ने बताया कि चोरी हुए सिक्के लिए जाने से पहले सालों तक अछूते पड़े थे – औसत निष्क्रियता 3.18 वर्ष थी – जिससे यह पता चलता है कि पीड़ित दीर्घकालिक धारक थे। तीनों दस्तावेजित लहरों के फंड हमलावर पतों में पड़े हुए हैं और हिले नहीं हैं।

इस घटना ने प्रभावित उपयोगकर्ताओं से घबराई हुई प्रतिक्रिया उत्पन्न की है, सुरक्षा विशेषज्ञ नए पतों पर फंड स्थानांतरित करते समय सावधानी बरतने का आग्रह कर रहे हैं। कई प्रभावित उपयोगकर्ता बिटकॉइन को सेल्फ-कस्टडी से हटाकर केंद्रीकृत क्रिप्टो एक्सचेंजों, जैसे कॉइनबेस या बाइनेंस, या नए जनरेट किए गए पतों पर ले जाने की होड़ में हैं – जो उद्योग के सामान्य "आपकी चाबियां नहीं, आपके सिक्के नहीं" के आदर्श वाक्य का एक उलटा है।

कुछ लोगों के लिए, चेतावनियां बहुत देर से आईं। कनाडाई कोच जोनाथन गुडमैन ने X पर एक पोस्ट में कहा कि 29 जुलाई को सात मिनट के भीतर उनके वॉलेट से 18.25 BTC, जिसकी कीमत लगभग $1.6 मिलियन कनाडाई डॉलर थी, निकाल ली गई, भले ही उनकी चाबियां एक सुरक्षित जमा बॉक्स में थीं जो कभी इंटरनेट से जुड़ी नहीं थी। उन्होंने लिखा, "शायद इस बारे में सबसे मुश्किल बात यह है कि मैंने सब कुछ सही किया था," यह जोड़ते हुए कि वह पुलिस और ओंटारियो सिक्योरिटीज कमीशन के पास रिपोर्ट दर्ज करा रहे हैं।