Una cuarta ola sospechosa de ataques dirigidos a billeteras de Bitcoin generadas por Coldcard vulnerables puede estar ya en marcha, con el investigador de blockchain Alex Thorn advirtiendo el 3 de agosto que casi 449 BTC habían sido barridos de cientos de direcciones en aproximadamente dos horas y media.
La última actividad, que aún se estaba desarrollando cuando Thorn publicó, sigue a tres olas anteriores que los investigadores han vinculado a la misma vulnerabilidad de baja entropía que afecta a ciertas versiones del firmware de Coldcard.
Continúan los nuevos barridos
Thorn dijo que su último análisis había identificado 218 transacciones que afectaban a 462 direcciones de víctimas sospechosas entre los bloques de Bitcoin 960778 y 969792. Las transacciones movieron 388.93 BTC, valorados en aproximadamente $24.4 millones a las tasas actuales, hacia 216 direcciones de destino, casi todas las cuales habían sido creadas recientemente y no tenían historial de transacciones previo.
“Estos son VÍCTIMAS PROBABLES de Coldcard — coinciden con la forma de utxos vulnerables de coldcard y el patrón elevado de transacciones me da alta confianza de que son otra ola de ataque,” escribió.
El analista enfatizó que aún no tenía confirmación directa de las víctimas, por lo que había utilizado deliberadamente “probables” por precaución. También corrigió rápidamente la lista de destinos, eliminando seis direcciones, que dijo ya habían estado recibiendo y gastando BTC mucho antes de que comenzara el incidente de Coldcard el 30 de julio. Las seis representaban poco más de 5 BTC de la cifra calculada anteriormente.
Además, Thorn eliminó 89 direcciones multisig de su lista, ya que ninguna había aparecido en las primeras tres oleadas, reduciendo el núcleo sobreviviente a 709 direcciones y 448.73 ($28.1 millones) en transacciones confirmadas y aún pendientes.
Instó a los usuarios a mover inmediatamente sus fondos de los dispositivos Coldcard afectados y a utilizar tarifas de transacción más altas, y también advirtió que algunas de las transacciones pendientes tenían habilitado el Replace-by-Fee, o RBF, lo que significa que las víctimas cuyas transacciones aún estaban en el mempool podrían tener una breve oportunidad de superar la oferta del atacante y recuperar sus fondos antes de la confirmación.
Oleadas anteriores aún no gastadas
Galaxy Research ha estimado que las primeras tres oleadas confirmadas drenaron 1,367 BTC, valorados en alrededor de $85.7 millones, de 4,585 direcciones de Bitcoin. Según la firma, esos fondos no han sido gastados y aún están en billeteras controladas por el atacante, lo que sugiere una operación coordinada en lugar de un robo oportunista.
Sin embargo, no todos los BTC robados se han quedado quietos. Una víctima que tenía cerca de 30 BTC tuvo 17 de ellos enrutados a través de ThorChain hacia el casino en línea Duel, que supuestamente le dijo a la víctima que presentara un informe policial antes de que pudiera considerar un congelamiento.
El ataque proviene de una vulnerabilidad que afecta a las semillas generadas en ciertas versiones del firmware de Coldcard lanzadas después de marzo de 2021. Coinkite, el fabricante de la billetera Coldcard, confirmó que las semillas creadas en los dispositivos Mk3, Mk4, Mk5 y Q afectados están expuestas, y aunque el firmware más reciente corregido ha detenido el problema para las semillas futuras, no puede asegurar las antiguas. También dijo que ha destruido todo el inventario vulnerable restante, detenido los envíos y está trabajando con los clientes y las fuerzas del orden mientras intentan identificar a los responsables del robo.
Además, la empresa aconsejó a los usuarios que migraran inmediatamente a una nueva semilla en un dispositivo no afectado, con Thorn señalando que cada dirección de Coldcard de firma única generada bajo las condiciones vulnerables eventualmente se agotará.
Fuente: CryptoPotato
