Слідчі, можливо, надали владі США інформацію, що дозволяє ідентифікувати зловмисника, відповідального за першу хвилю крадіжок Coldcard, повідомило видання Bitcoin Magazine 18 серпня.
Алекс Торн з Galaxy Research заявив, що особа зловмисника першої хвилі "може бути відома правоохоронним органам". Його заява була обережною, і ФБР публічно не підтвердило ідентифікацію підозрюваного, відкриття справи, арешт чи повернення викрадених біткойнів.
Перша хвиля вилучила 1082,65 BTC з гаманців, згенерованих за допомогою вразливої прошивки Coldcard. За поточною ціною біткойна близько 64 000 доларів, ці монети коштували б приблизно 69 мільйонів доларів, а не 11,8 мільйона доларів.
Керівник інженерного відділу Block Клей Гарретт повідомив, що слідчі виявили незвичайну закономірність у ончейн-транзакціях зловмисника. Оператор нібито використовував платний акаунт у неназваного постачальника блокчейн-даних для запитів по вихідних адресах та виконання пов'язаної діяльності.
Block зв'язався з постачальником, чиї внутрішні журнали, як повідомляється, з "надзвичайною точністю" збігалися за кількістю, часом та послідовністю підозрілих запитів. Гарретт зазначив, що Block передав відповідну інформацію до належних органів влади.
Акаунт міг містити записи про платежі, доступ або дані абонента. Однак немає публічних доказів, які б встановлювали, які саме записи були збережені, хто контролював акаунт або чи отримав сервіс точну ідентифікаційну інформацію.
Block також заявив, що не знайшов доказів того, що постачальник свідомо допомагав у крадіжці. Схоже, компанія надавала звичайні послуги, не знаючи, як буде використана інформація.
Звіт Bitcoin Magazine пов'язав слідчу інформацію з ФБР, але жодна заява ФБР не підтверджує це твердження. У відкритих реєстрах не було знайдено жодних кримінальних скарг, обвинувальних актів, документів про вилучення або конфіскацію.
Тому формулювання Торна є важливим. Особа, яка "може бути відома", не те ж саме, що перевірений підозрюваний або обвинувачений. Слідчі все ще повинні встановити, хто керував акаунтом, хто контролював адреси-одержувачі та чи підтверджують докази кримінальні звинувачення.
Кошти першої хвилі залишаються видимими на пов'язаних адресах. Як раніше повідомляло crypto.news, найбільший непереміщений баланс зловмисника не надходив на відому біржу чи до міксера.
Ці монети не заморожені. Транзакції біткойнів не можуть бути скасовані або заблоковані на рівні протоколу. Відновлення вимагало б контролю над приватними ключами, добровільного повернення або подальшого переказу через посередника, здатного виконати законний ордер на вилучення.
Остання публічна сторінка досліджень Galaxy містить інформацію про втрати щонайменше 1700 BTC у кілька хвиль. Інші суми залишаються вищими, оскільки дослідники використовують різні кластери адрес, стандарти підтвердження та звіти жертв.
Пізніші хвилі крадіжок демонстрували різні патерни транзакцій. Тому дослідники застерегли, що більше одного суб'єкта могли експлуатувати слабкий простір сид-фраз після того, як інформація про вразливість стала публічною.
Ця відмінність означає, що ідентифікація першого оператора не обов'язково вирішить проблему кожної крадіжки. Galaxy поширила підозрілі адреси слідчим, біржам та аналітичним компаніям, але жодне агентство не оголосило про повернення коштів.
У відповідному матеріалі, попередній технічний огляд crypto.news виявив, що інцидент був пов'язаний зі слабкою генерацією сид-фраз, а не з компрометацією протоколу Bitcoin або фізичним доступом до пристроїв.
Консультація Coinkite вказує, що прошивка Mk2 та Mk3, що постраждала, генерувала сид-фрази з недостатньою ентропією, починаючи з версії 4.0.1. Сид-фрази, створені на певних версіях Mk4, Mk5 та Q, також були вразливі, хоча їхнє зменшення ентропії було менш значним.
Виправлена прошивка запобігає тому ж дефекту при генерації нових сид-фраз. Встановлення оновлення не виправляє існуючу вразливу сид-фразу. Користувачі повинні спочатку оновити прошивку, створити абсолютно нову сид-фразу та перемістити свої кошти після перевірки тестової транзакції.
Поточний статус Coinkite свідчить, що її офіційний технічний аналіз наслідків все ще триває. Також зазначається, що цільові незалежні перевірки були проведені, але вони не встановлюють, що кожен виправлений бінарний файл прошивки пройшов повний аудит.
Цей інцидент викликав заклики до незалежних апаратних аудитів. Нагальні питання зараз стосуються того, чи зможуть органи влади пов'язати платний акаунт з конкретною особою, чи будуть переміщені кошти першої хвилі, і чи підтвердять судові записи в кінцевому підсумку розслідування.
BTC