Activitatea onchain Bitcoin a atins cel mai înalt nivel din 2026, cercetătorii legând această creștere de exploatarea continuă a portofelului Coldcard, avertizând că astfel de vârfuri au coincis istoric cu punctele de cotitură locale ale pieței.
K33 Research a declarat că aproape 890.000 BTC s-au mutat onchain în ultimele șapte zile, cea mai mare ofertă activă în șapte zile înregistrată anul acesta, chiar dacă Bitcoin a continuat să tranzacționeze într-unul dintre cele mai strânse intervale de preț din ultimii ani.
Această notă de cercetare apare în timp ce investigatorii continuă să extindă domeniul de aplicare al breșei portofelului hardware Coldcard. Galaxy Research a declarat marți că cel puțin 15 atacatori diferiți au exploatat acum vulnerabilitatea, în timp ce cea mai recentă estimare confirmată se ridică la 1.596 BTC furați de la aproximativ 7.300 de adrese, pe parcursul a trei valuri de atac verificate. Firma a adăugat că pierderile ar putea ajunge la aproximativ 2.055 BTC, sau aproximativ 130 de milioane de dolari, dacă un al patrulea val suspectat este confirmat prin rapoarte suplimentare de la victime.
Deși observațiile anterioare pe blockchain sugerau pierderi mai mari, Galaxy a declarat că și-a rafinat estimările după ce a separat rapoartele confirmate ale victimelor de activitatea onchain suspectată. Echipa de cercetare a mai spus că aproximativ 90% din Bitcoinul furat nu s-a mutat de la atacuri, oferind investigatorilor timp suplimentar pentru a monitoriza fondurile, coordonându-se cu bursele de criptomonede, firmele de securitate blockchain și forțele de ordine din SUA.
În ciuda unei acțiuni de preț relativ calme, șeful de cercetare K33, Vetle Lunde, a declarat că ritmul transferurilor Bitcoin a accelerat puternic.
Potrivit raportului, Bitcoin a înregistrat cel mai restrâns interval de tranzacționare maxim-minim pe 30 de zile din 2023, în timp ce volatilitatea realizată a scăzut sub cea a Nasdaq 100. Chiar și așa, oferta activă a crescut rapid, deoarece utilizatorii afectați și-au mutat monedele în urma incidentului Coldcard.
Lunde a declarat că această creștere a fost „foarte probabil determinată de atacurile Coldcard”, adăugând că incidentul a „intensificat probabil preocupările legate de alte portofele hardware, inclusiv Ledger și Trezor, determinând unii proprietari să ia în considerare custodiile centralizate sau configurațiile cu semnături multiple.”
Rapoarte separate, acoperite de crypto.news, au indicat, de asemenea, o schimbare a comportamentului de custodie. Jonathan Brockmeier, Chief Compliance Officer la OKX, a declarat publicației că bursa a înregistrat intrări record în urma incidentului Coldcard, deoarece unii utilizatori și-au mutat activele din portofelele hardware către custodia centralizată.
„Vedem niveluri record de intrări acum către bursele centralizate post-Coldcard”, a declarat Brockmeier. „Este interesant – este un fel de revers al FTX. Se întâmplă FTX, și toată lumea își mută banii în auto-custodie, iar acum se întorc.”
El a spus că bursele pot oferi echipe dedicate de securitate și sisteme automate de monitorizare pentru utilizatorii care preferă custodia gestionată, adăugând că auto-custodia rămâne o opțiune pentru clienții dispuși să-și gestioneze propria securitate.
Privind dincolo de exploatarea imediată, K33 a declarat că explozii similare de activitate onchain au apărut în mod repetat în jurul inversărilor majore ale pieței.
Raportul a constatat că perioadele în care oferta activă pe șapte zile a intrat în top 10% din observații, comparativ cu istoricul său de 365 de zile, s-au aliniat cu vârfurile și minimele locale în timpul pieței urs a anului 2022, a piețelor taur din 2024 și 2025 și a pieței urs din 2026.
„Intuiția din spatele acestei observații este clară: panica este vizibilă onchain”, a scris Lunde.
El a explicat că piețele în scădere îi determină adesea pe deținători să mute monede pe burse pentru a limita pierderile suplimentare, în timp ce prețurile în creștere încurajează atât luarea de profit, cât și cumpărăturile determinate de frica de a rata (FOMO). Raportul a mai notat că două dintre cele mai mari vârfuri ale ofertei active din acest an au avut loc în timpul vânzărilor masive din februarie și iunie, în timp ce o creștere separată la sfârșitul lunii aprilie a fost mai probabil legată de rotații de adrese de rutină decât de transferuri pe bursă.
K33 nu a susținut că activitatea crescută singură prezice direcția viitoare a prețului, dar a spus că relația istorică face ca comportamentul onchain actual să merite monitorizat pe măsură ce investigația Coldcard continuă.
Atacul a provenit dintr-o vulnerabilitate în firmware-ul Coldcard pe care Coinkite a dezvăluit-o după ce a descoperit că dispozitivele afectate generau seed-uri de portofel cu un generator de numere pseudo-aleatoare determinist, în loc de generatorul de numere aleatoare adevărate susținut de hardware, așa cum era intenționat.
Conform reviziei tehnice a Coinkite, vulnerabilitatea a fost introdusă în martie 2021, în timp ce inginerii au integrat o nouă bibliotecă criptografică în firmware-ul portofelului. Deși generatorul hardware de numere aleatoare a continuat să funcționeze în alte părți ale software-ului, crearea portofelului s-a bazat în mod eronat pe generatorul determinist al MicroPython, reducând entropia utilizată pentru a crea noi fraze seed.
Echipa de inginerie și securitate Bitcoin a Block a ajuns independent la aceeași concluzie după revizuirea firmware-ului. Compania a declarat că dispozitivele vulnerabile au apelat la soluția de rezervă deterministă MicroPython în timpul creării portofelului, în loc de generatorul hardware de numere aleatoare STM32, deși a menționat că nu a finalizat testarea tuturor modelelor afectate înainte de a-și publica constatările, deoarece furturile active erau deja în curs.
Coinkite estimează că portofelele afectate Mk2 și Mk3 pot oferi aproximativ 40 de biți de entropie efectivă, în timp ce dispozitivele vulnerabile Mk4, Mk5 și Coldcard Q pot genera aproximativ 72 de biți, mult sub nivelul de securitate intenționat de 128 de biți.
Actualizări de firmware de urgență sunt acum disponibile pentru toate liniile de produse afectate. Cu toate acestea, Coinkite a declarat că instalarea firmware-ului actualizat protejează doar portofelele create după remediere. Proprietarii ale căror fraze seed au fost generate cu firmware vulnerabil au fost instruiți să creeze portofele complet noi, să verifice adresa de destinație cu o mică tranzacție de testare și să-și mute Bitcoinul numai după confirmarea transferului.
Incidentul a declanșat, de asemenea, o nouă discuție despre modul în care firmware-ul portofelelor hardware ar trebui verificat înainte de lansare.
Scriind pe X, Chief Security Officer al Kraken, Nick Percoco, a susținut că producătorii nu ar trebui să fie singurii responsabili pentru validarea modului în care firmware-ul de producție generează fraze seed pentru portofele. El a indicat standardele NIST SP 800-90B și BSI AIS-31 din Germania, spunând că o verificare end-to-end comparabilă nu este aplicată în mod obișnuit firmware-ului portofelelor hardware, în ciuda importanței generării sigure a seed-urilor.
CTO Emerit al Ripple, David Schwartz, a comentat, de asemenea, incidentul, descriindu-l ca un exemplu de risc izolat în care o defecțiune tehnică neobișnuită poate produce pierderi mult peste ceea ce se așteaptă utilizatorii. Schwartz a comparat breșa cu prăbușirea MF Global din 2011, argumentând că, deși auto-custodia elimină dependența de intermediarii financiari, utilizatorii depind în continuare de funcționarea corectă a hardware-ului și firmware-ului.
El a mai menționat că, spre deosebire de clienții instituțiilor financiare reglementate, proprietarii Coldcard afectați nu au în prezent un mecanism de recuperare comparabil după ce fondurile sunt furate prin seed-uri de portofel compromise.
BTC