Galaxy Research cho biết thiệt hại từ lỗ hổng phần cứng Coldcard bitcoin có thể lên tới 2.000 BTC (BTC), tương đương khoảng 130 triệu USD.

Trong một bài đăng hôm thứ Hai trên nền tảng mạng xã hội X, Galaxy Research cho biết họ đã xác định được 1.596 BTC bị đánh cắp từ 7.300 địa chỉ trong ba làn sóng tấn công đã được xác nhận, cùng với 14 sự cố bảo mật nhỏ hơn.

Các cuộc tấn công này bắt nguồn từ một vấn đề đang diễn ra ảnh hưởng đến các seed được tạo trên các phiên bản firmware Coldcard Mk3, Mk4, Mk5 và Coldcard Q của Coinkite. Coinkite sau đó đã phát hành các bản cập nhật firmware khẩn cấp cho tất cả các mẫu bị ảnh hưởng và cho biết họ đã tiêu hủy số hàng tồn kho dễ bị tấn công còn lại.

Vấn đề này lần đầu tiên được đưa ra ánh sáng khi nhiều báo cáo về các khai thác xuất hiện vào ngày 30 tháng 7, trong một đợt quét tự động, theo chương trình với sự hỗ trợ có thể có của LLM.

Galaxy đã viết trong bài đăng trên X của mình rằng họ nghi ngờ thiệt hại sẽ lớn hơn một khi làn sóng tấn công thứ tư chưa được xác nhận được đưa vào.

Làn sóng thứ tư

"Mặc dù chúng tôi cũng đã xác định được một Làn sóng 4 tiềm năng, nhưng chúng tôi vẫn chưa nhận được xác nhận cụ thể từ nạn nhân về việc bị ảnh hưởng trong làn sóng này," Galaxy cho biết. "Nếu tính cả làn sóng này, tổng số sẽ là 2.055 BTC (130 triệu USD)."

Galaxy tuyên bố rằng họ có mức độ tin cậy trung bình-cao rằng Làn sóng 4 "chủ yếu bao gồm" một kẻ tấn công, nhưng lưu ý rằng họ thiếu xác nhận đầy đủ từ nạn nhân. Trưởng phòng Nghiên cứu Toàn công ty của Galaxy, Alex Thorn, đã báo hiệu về sự tồn tại tiềm năng của Làn sóng 4 vào thứ Ba, lưu ý rằng mô hình giao dịch trùng khớp với các làn sóng tấn công trước đó.

Công ty nghiên cứu cũng cho biết họ đã hợp tác với các cơ quan thực thi pháp luật liên bang Hoa Kỳ, các sàn giao dịch tiền điện tử và các nhóm điều tra an ninh mạng bằng cách cung cấp các địa chỉ đã được xác nhận của kẻ tấn công và nạn nhân.

"90% số tiền bị đánh cắp vẫn chưa được di chuyển. 100% số tiền trong Làn sóng 1, 2 và 3 vẫn chưa được di chuyển," Galaxy cho biết. "Điều cần thiết là chúng ta tiếp tục xác định các địa chỉ tấn công bổ sung, đặc biệt khi những kẻ tấn công cơ hội mới xuất hiện, để chúng ta có thể báo cáo địa chỉ của chúng cho các nhà chức trách."

Galaxy nói thêm rằng cuộc tấn công vẫn đang diễn ra, và kêu gọi người dùng Coldcard di chuyển tiền của họ đến một địa chỉ an toàn và tạo một seed mới trên một thiết bị bảo mật.