Une quatrième vague d'attaques suspectées ciblant les portefeuilles Bitcoin générés par Coldcard pourrait déjà être en cours, le chercheur en blockchain Alex Thorn avertissant le 3 août que près de 449 BTC avaient été balayés de centaines d'adresses en environ deux heures et demie.
La dernière activité, qui était encore en cours au moment où Thorn a publié, fait suite à trois vagues précédentes que les chercheurs ont liées à la même vulnérabilité de faible entropie affectant certaines versions du firmware Coldcard.
De nouveaux balayages continuent
Thorn a déclaré que sa dernière analyse avait identifié 218 transactions affectant 462 adresses de victimes suspectées entre les blocs Bitcoin 960778 et 969792. Les transactions ont déplacé 388,93 BTC, d'une valeur d'environ 24,4 millions de dollars aux taux actuels, vers 216 adresses de destination, presque toutes nouvellement créées et n'ayant aucun historique de transaction précédent.
« Ce sont probablement des victimes de Coldcard — elles correspondent à la forme des utxos vulnérables de coldcard et le modèle de transaction élevé me donne une grande confiance qu'il s'agit d'une autre vague d'attaque », a-t-il écrit.
L'analyste a souligné qu'il n'avait pas encore de confirmation directe des victimes, c'est pourquoi il avait délibérément utilisé « probablement » par prudence. Il a également rapidement corrigé la liste des destinations, en supprimant six adresses, qu'il a dit avoir déjà reçu et dépensé des BTC bien avant que l'incident Coldcard ne commence le 30 juillet. Les six représentaient un peu plus de 5 BTC du chiffre précédemment calculé.
De plus, Thorn a retiré 89 adresses multisig de sa liste, puisque aucune n'était apparue dans les trois premières vagues, réduisant le noyau survivant à 709 adresses et 448,73 $ (28,1 millions de dollars) à travers les transactions confirmées et encore en attente.
Il a exhorté les utilisateurs à déplacer immédiatement leurs fonds des appareils Coldcard affectés et à utiliser des frais de transaction plus élevés, et a également averti que certaines des transactions en attente avaient l'option Remplacer par frais, ou RBF, activée, ce qui signifie que les victimes dont les transactions étaient encore dans le mempool pourraient avoir une très brève chance de surenchérir sur l'attaquant et de récupérer leurs fonds avant confirmation.
Vagues antérieures encore non dépensées
Galaxy Research a estimé que les trois premières vagues confirmées avaient drainé 1 367 BTC, d'une valeur d'environ 85,7 millions de dollars, à partir de 4 585 adresses Bitcoin. Selon la société, ces fonds n'ont pas été dépensés et sont toujours dans des portefeuilles contrôlés par l'attaquant, suggérant une opération coordonnée plutôt qu'un vol opportuniste.
Cependant, tous les BTC volés ne sont pas restés en place. Une victime détenant près de 30 BTC en a vu 17 acheminés via ThorChain vers le casino en ligne Duel, qui aurait dit à la victime de déposer un rapport de police avant de pouvoir envisager un gel.
L'attaque provient d'une vulnérabilité affectant les clés générées sur certaines versions du firmware Coldcard publiées après mars 2021. Coinkite, le fabricant du portefeuille Coldcard, a confirmé que les clés créées sur les appareils Mk3, Mk4, Mk5 et Q affectés sont exposées, et bien que des firmwares corrigés plus récents aient résolu le problème pour les nouvelles clés, ils ne peuvent pas sécuriser les anciennes. Il a également déclaré avoir détruit tout l'inventaire vulnérable restant, suspendu les expéditions et travaille avec les clients et les forces de l'ordre alors qu'ils tentent d'identifier les responsables du vol.
De plus, la société a conseillé aux utilisateurs de migrer immédiatement vers une nouvelle clé sur un appareil non affecté, Thorn soulignant que chaque adresse Coldcard à signature unique générée dans des conditions vulnérables sera finalement vidée.
Source : CryptoPotato
