مخترق كولدكارد يحوّل 7.7 مليون دولار من البيتكوين، 45% من العملات المسروقة في الموجة الهجومية الثالثة
هاجم مُنفّذ الموجة الثالثة من عمليات سرقة محافظ Coldcard للأجهزة، وحوّل 97.09 بيتكوين (بقيمة 7.7 مليون دولار)، أي ما يعادل 45٪ تقريبًا من العملات المسروقة، عبر طريقتين منفصلتين.
أوضحت شركة Galaxy Research أن المهاجم قام بتحويل حوالي 20.5 بيتكوين من أكبر خزينة لديه عبر منصة التبادل اللامركزية THORChain في 2 سبتمبر، ووصلت الأموال إلى شبكة إيثريوم.
بعد ذلك، أرسل 15.48 بيتكوين من ثاني أكبر خزينة إلى معاملة CoinJoin في 5 سبتمبر، تلاها تحويل 61.12 بيتكوين أخرى من 10 خزائن في اليوم التالي.
يُذكر أن تقنية CoinJoin تدمج معاملات البيتكوين من عدة مستخدمين، مما يجعل من الصعب ربط المدخلات المحددة بمخرجاتها النهائية.
قالت Galaxy إن المهاجم يعمل على تفريغ الخزائن الـ 293 بالترتيب من الأكبر إلى الأصغر، وقد أفرغ الآن أكبر 11 خزينة. وتحتفظ الخزائن العشر التالية بـ 30.81 بيتكوين، بينما تحتوي الخزائن المرتبة من 61 إلى 293 على 33.77 بيتكوين مجتمعة.
هذه الخزائن ليست محافظ الضحايا الشخصية. وأشارت Galaxy إلى أن المستغل أنشأها، واحدة لكل ضحية، باستخدام إعداد توقيع متعدد من نوع 2-من-2 يتطلب مفتاحين لتحريك البيتكوين. الخزينة غير المحددة سابقًا، التي مولتها 58 عنوانًا، استخدمت نفس التنسيق.
قالت Galaxy إن الخزينة ربما تكون مرتبطة بضحية أخرى من ضحايا Coldcard، على الرغم من أن مصدرها لا يزال غير مؤكد. وإدراجها سيرفع الموجة الثالثة إلى 294 خزينة ويجعل إجمالي العملية الأوسع حوالي 1,806 بيتكوين، بقيمة تقارب 143.9 مليون دولار.
أفادت Galaxy أن حوالي 82٪ من البيتكوين المسروقة في جميع الموجات لا تزال في عناوين المهاجم الأصلية الخاضعة لسيطرته، بينما تحركت 18٪ في معاملات تبدو مصممة لإخفاء مسار الأموال.
بدأت عمليات السرقة في 30 يوليو بعد أن استغل المهاجمون ثغرة في البرامج الثابتة أضعفت العشوائية التي تستخدمها أجهزة Coldcard لتوليد مفاتيح المحافظ.
أصدرت Coinkite برامج ثابتة محدثة، لكنها قالت إن المستخدمين المتأثرين يجب عليهم إنشاء مفاتيح جديدة وتحويل أموالهم لأن التحديث وحده لا يمكنه إصلاح المفاتيح المخترقة.
كيف حدثت سرقة محافظ Coldcard؟
استغل المهاجمون ثغرة في البرامج الثابتة للأجهزة أضعفت عملية توليد الأرقام العشوائية المسؤولة عن إنشاء مفاتيح المحافظ، مما سمح لهم بالتنبؤ بالمفاتيح وسرقة الأموال من عدة ضحايا.
ما الذي يجب أن يفعله مستخدمو Coldcard الآن؟
يجب على المستخدمين المتأثرين إنشاء مفاتيح جديدة فورًا ونقل أموالهم إلى محافظ جديدة، حيث أن تحديث البرامج الثابتة فقط لا يكفي لإصلاح المفاتيح التي تم اختراقها بالفعل.
هل يمكن تتبع البيتكوين المسروقة؟
المهاجم يستخدم طرقًا متقدمة مثل CoinJoin وتطبيقات تبادل لامركزية لإخفاء مسار الأموال، لكن حوالي 82٪ من البيتكوين المسروقة لا تزال في عناوين معروفة يمكن تتبعها من قبل شركات التحقيق في blockchain.
