Penyelidik kemungkinan telah memberikan informasi kepada otoritas AS yang mampu mengidentifikasi penyerang yang bertanggung jawab atas gelombang pencurian Coldcard pertama, lapor Bitcoin Magazine pada 18 Agustus.
Alex Thorn dari Galaxy Research mengatakan identitas penyerang gelombang pertama "mungkin diketahui oleh penegak hukum." Pernyataannya berhati-hati, dan FBI belum secara publik mengkonfirmasi identifikasi tersangka, pembukaan kasus, penangkapan, atau pemulihan Bitcoin yang dicuri.
Gelombang pertama menghilangkan 1.082,65 BTC dari dompet yang dibuat menggunakan firmware Coldcard yang rentan. Dengan harga Bitcoin baru-baru ini mendekati $64.000, koin-koin tersebut akan bernilai sekitar $69 juta, bukan $11,8 juta.
Clay Garrett, pimpinan rekayasa Block, mengatakan penyelidik menemukan pola yang tidak biasa dalam penyapuan onchain penyerang. Operator diduga menggunakan akun berbayar di penyedia data blockchain yang tidak disebutkan namanya untuk menanyakan alamat sumber dan melakukan aktivitas terkait.
Block menghubungi penyedia tersebut, yang log internalnya dilaporkan cocok dengan jumlah, waktu, dan urutan permintaan yang dicurigai dengan "spesifisitas luar biasa." Garrett mengatakan Block menyerahkan informasi relevan kepada pihak berwenang yang sesuai.
Akun tersebut dapat berisi catatan pembayaran, akses, atau pelanggan. Namun, tidak ada bukti publik yang menetapkan catatan mana yang disimpan, siapa yang mengendalikan akun, atau apakah layanan tersebut menerima informasi identifikasi yang akurat.
Block juga mengatakan tidak menemukan bukti bahwa penyedia tersebut dengan sengaja membantu pencurian. Perusahaan tersebut tampaknya telah menyediakan layanan biasa tanpa mengetahui bagaimana informasi itu akan digunakan.
Laporan Bitcoin Magazine menghubungkan petunjuk investigasi ke FBI, tetapi tidak ada pernyataan FBI yang mengkonfirmasi klaim tersebut. Tidak ada pengaduan pidana, dakwaan, pengajuan penyitaan, atau tindakan perampasan yang ditemukan dalam catatan publik.
Oleh karena itu, pilihan kata Thorn penting. Identitas yang "mungkin diketahui" tidak sama dengan tersangka yang terverifikasi atau terdakwa yang didakwa. Penyelidik masih harus menetapkan siapa yang mengoperasikan akun tersebut, siapa yang mengendalikan alamat penerima, dan apakah bukti tersebut mendukung tuntutan pidana.
Dana gelombang pertama tetap terlihat di alamat terkait. Seperti yang dilaporkan sebelumnya oleh crypto.news, saldo penyerang terbesar yang tidak bergerak belum masuk ke bursa atau mixer yang dikenal.
Koin-koin tersebut tidak dibekukan. Transaksi Bitcoin tidak dapat dibatalkan atau diblokir pada tingkat protokol. Pemulihan akan memerlukan kendali atas kunci privat, pengembalian sukarela, atau transfer selanjutnya melalui perantara yang mampu mematuhi perintah penyitaan yang sah.
Halaman riset publik terbaru Galaxy mencantumkan kerugian setidaknya 1.700 BTC di berbagai gelombang. Total lainnya tetap lebih tinggi karena peneliti menggunakan klaster alamat, standar konfirmasi, dan laporan korban yang berbeda.
Gelombang pencurian berikutnya menunjukkan pola transaksi yang berbeda. Oleh karena itu, para peneliti telah memperingatkan bahwa lebih dari satu pelaku mungkin telah mengeksploitasi ruang seed yang lemah setelah informasi tentang cacat tersebut menjadi publik.
Perbedaan ini berarti mengidentifikasi operator pertama tidak serta merta akan menyelesaikan setiap pencurian. Galaxy telah mendistribusikan alamat yang dicurigai kepada penyelidik, bursa, dan perusahaan analitik, tetapi tidak ada lembaga yang mengumumkan pemulihan.
Dalam liputan terkait, tinjauan teknis crypto.news sebelumnya menemukan bahwa insiden tersebut melibatkan generasi seed yang lemah daripada kompromi protokol Bitcoin atau akses fisik ke perangkat.
Saran Coinkite menyatakan bahwa firmware Mk2 dan Mk3 yang terpengaruh menghasilkan seed dengan entropi yang tidak memadai dimulai dengan versi 4.0.1. Seed yang dibuat pada rilis Mk4, Mk5, dan Q tertentu juga terekspos, meskipun pengurangan entropinya tidak terlalu parah.
Firmware yang diperbaiki mencegah cacat yang sama saat membuat seed baru. Menginstal pembaruan tidak memperbaiki seed rentan yang sudah ada. Pengguna harus memperbarui terlebih dahulu, membuat seed yang benar-benar baru, dan memindahkan dana mereka setelah memverifikasi transaksi uji.
Status Coinkite saat ini menyatakan bahwa postmortem teknis formalnya masih dalam proses. Dikatakan juga bahwa pemeriksaan independen yang ditargetkan telah terjadi tetapi tidak membuktikan bahwa setiap binary firmware yang diperbaiki menerima audit lengkap.
Insiden ini telah mendorong seruan untuk audit hardware independen. Pertanyaan-pertanyaan langsung sekarang menyangkut apakah pihak berwenang dapat menghubungkan akun berbayar ke seseorang, apakah dana gelombang pertama bergerak, dan apakah catatan pengadilan akhirnya mengkonfirmasi penyelidikan.
