L'auteur du piratage Coldcard transfère 45 % des fonds volés lors des attaques « Wave 3 », selon Galaxy

L'attaquant à l'origine des exploits sur les portefeuilles matériels Coldcard bitcoin a déplacé 45 % des actifs volés issus de la troisième vague d'attaques, selon Galaxy Research.

Alors que l'exploiteur avait précédemment échangé les coins contre de l'ether (ETH) via THORChain le 2 septembre, il a fait transiter le bitcoin volé par des transactions CoinJoin dimanche. Au total, 97,09 BTC (7,8 millions de dollars au cours de lundi) ont déjà été dépensés.

L'attaquant déplace les coins volés par ordre de taille, en commençant par les plus gros. Galaxy indique que les rangs 1 à 11 ont déjà été déplacés, tandis que les 10 coffres suivants, encore intacts, détiennent 30,81 BTC, et les coffres plus petits (rangs 61 à 293) détiennent au total 33,77 BTC.

En ce qui concerne le total des fonds dérobés via les dispositifs Coldcard, 82 % restent sur les adresses sous contrôle de l'attaquant d'origine, tandis que le reste a été déplacé à des fins de blanchiment, a ajouté Galaxy.

Les vols, qui ont débuté le 30 juillet, proviennent d'un bug dans le firmware expédié par Coinkite en 2021. Cela a affecté la manière dont les dispositifs Coldcard généraient les seeds des portefeuilles, réduisant l'aléa utilisé pour les créer et permettant aux attaquants de forcer les phrases seeds privées et de vider les adresses à signature unique sans toucher à l'appareil.

À la mi-août, Galaxy a déclaré avoir identifié environ 1 779 BTC volés à 190 victimes et plus de 8 600 adresses. Le cabinet de recherche a évoqué la possibilité d'une vague 4, mais cela n'a pas encore été confirmé.

Dans sa publication de lundi, Galaxy a précisé que l'exploiteur avait "co-dépensé" un coffre auparavant inconnu composé de 58 adresses susceptibles d'être des victimes de Coldcard. En comptant cela, les pertes totales s'élèveraient à 1 806 BTC, soit 143,9 millions de dollars au prix actuel.