Galaxy Research indique que le hacker à l’origine de la troisième vague de l’exploit Coldcard a déplacé 97,09 BTC, soit environ 7,8 millions de dollars selon les prix de lundi. Cela représente environ 45 % du Bitcoin volé lors de cette attaque spécifique.
Ce mouvement est notable car l’attaquant semble suivre un plan clair, au lieu de transférer les fonds de manière aléatoire.
Le 2 septembre, l’attaquant a commencé à déplacer le Bitcoin volé via THORChain, en l’échangeant contre de l’Ether. Il s’agissait du premier transfert significatif depuis les hacks Coldcard, alors que ces fonds étaient jusque-là restés majoritairement inactifs.
Cependant, ce week-end, l’attaquant a commencé à transférer davantage de Bitcoin via CoinJoin, une technique utilisée pour dissimuler la piste.
CoinJoin mélange les transactions de nombreux utilisateurs en une seule fois, rendant beaucoup plus difficile d’identifier qui a envoyé quoi à qui. Cela ne rend pas le Bitcoin impossible à tracer, mais complique fortement l’analyse de la blockchain.
Sans surprise, cela suggère que l’attaquant cherche activement à compliquer le suivi des fonds volés.
Plus tôt, Galaxy Research avait indiqué qu’environ 1 778,84 BTC avaient été volés sur plus de 8 600 adresses, sur la base de leur enquête portant sur 190 victimes confirmées.
Des suivis plus récents portent le total à environ 1 789 BTC, et il existe un autre groupe potentiellement menacé qui pourrait faire grimper ce montant à environ 1 806 BTC.
Fait intéressant, malgré l’ampleur du vol, la majorité des Bitcoins dérobés sont restés immobiles. Les derniers chiffres de Galaxy montrent qu’environ 82 % se trouvent encore dans les portefeuilles du hacker, tandis que les 18 % restants ont été déplacés d’une manière typique d’opérations de blanchiment.
(adsbygoogle = window.adsbygoogle || []).push({});L’incident Coldcard est particulièrement préoccupant pour la communauté Bitcoin, car il ne s’agit pas d’une faille de sécurité classique d’une plateforme d’échange.
Les auteurs de l’attaque ont exploité une vulnérabilité du firmware affectant la génération des seeds de portefeuille. Selon Galaxy, les appareils Coldcard concernés ne produisaient pas des seeds suffisamment aléatoires, ce qui a permis aux attaquants de déterminer les clés et de vider le Bitcoin à distance sans accéder physiquement aux appareils.
L’entreprise recommande à toute personne disposant de fonds sur un portefeuille Coldcard vulnérable de les déplacer immédiatement.
