Atacatorul din spatele celui de-al treilea val de furturi de la portofelele hardware Coldcard a mutat 97,09 BTC, aproximativ 45% din prada acelui val și circa 7,7 milioane de dolari la prețurile de luni, conform Galaxy Research.
Prima ieșire a avut loc pe 2 septembrie, când aproximativ 20,5 BTC din cel mai mare seif au trecut prin THORChain și au ieșit sub formă de Ethereum. Monedele cheltuite duminică seară au intrat în runde CoinJoin, o tehnică de confidențialitate Bitcoin care grupează tranzacțiile de la mai mulți utilizatori pentru a rupe legătura dintre intrări și ieșiri. Doar 20,56 BTC au ajuns efectiv pe Ethereum. Alți 57,24 BTC stau necheltuiți ca rest CoinJoin într-o singură adresă, iar Galaxy afirmă că pista sa se oprește la încă aproximativ 19 BTC.
Exploatatorul ‘Valului 3’ Coldcard continuă să mute fonduri
În valul 3, exploatatorul a creat 293 de seifuri multisig 2-din-2 pentru monedele fiecărei victime.
Primele mișcări pe 9/2 au trimis monede prin THORChain către Ethereum.
Mișcările din această seară intră în runde coinjoins. pic.twitter.com/H7HIpcI7ah
— Galaxy Research (@glxyresearch) September 7, 2026
Seifurile sunt o construcție proprie a atacatorului. Galaxy a declarat că operatorul a construit 293 de adrese multisig două-din-două și a lucrat prin ele în ordine crescătoare a mărimii. Unsprezece sunt acum goale. Următoarele zece dețin 30,81 BTC între ele, iar cele mai mici 233 dețin 33,77 BTC.
Furturile provin dintr-un bug de firmware introdus de Coinkite în martie 2021, care a redirecționat generarea semințelor de la cipul hardware de numere aleatoare al dispozitivului către un substitut software, reducând puterea cheii de la 128 de biți de entropie la doar 40. Acest lucru a permis atacatorilor să reconstruiască cheile private offline și să golească adresele cu o singură semnătură fără a atinge vreodată hardware-ul. Curățarea portofelelor a început pe 30 iulie.
Coinkite a revizuit firmware-ul, acum la Mk4/Mk5 5.6.2 și Q 1.5.2Q, cerând proprietarilor să furnizeze propria aleatorietate prin apăsări de taste, aruncări de zaruri sau aruncări de monede. O actualizare nu poate repara o sămânță generată sub versiunea defectă, iar oricine al cărui portofel a fost creat pe firmware-ul afectat trebuie să genereze o sămânță nouă și să-și mute monedele la ea. Directorul executiv al Coinkite, Rodolfo Novak, și-a cerut scuze într-o scrisoare deschisă pe 31 iulie, scriind că firma va trebui să „recâștige încrederea utilizatorilor noștri”. O analiză tehnică post-mortem completă este încă în pregătire.
Mesajul de luni a semnalat și un seif necunoscut anterior, alimentat de 58 de adrese. Galaxy marchează cauza ca fiind deschisă, dar crede că este o altă victimă Coldcard, ceea ce ar ridica totalul publicat pentru exploit la aproximativ 1.806 BTC, sau 143,9 milioane de dolari. Galaxy a declarat în august că avea înregistrat și un al patrulea val neconfirmat de 638,5 BTC, ceea ce ar duce totalul peste 2.400, și nu a înregistrat nicio curățare de către atacatori de la 6 august. Peste toate valurile, 82% dintre monede rămân acolo unde atacatorii le-au pus inițial.
ETH
BTC