すでに18日が経過していますが、7月30日から始まったColdcardの脆弱性の影響は依然として続いています。Galaxy Researchは8月16日に200人以上の被害者と話をし、攻撃の情報について調査しました。
問題となったコインは、脆弱なColdcardファームウェアがリリースされた日に生成されています。これは2021年3月17日で、そのときBitcoin（BTC）はブロック高674,951に到達していました。このタイミングが今回の攻撃を注目すべきものにしており、エクスプロイトがシード生成の欠陥に関連していることを示しています。
このような欠陥においては、不正な行為者が盗まれたウォレットのシード・エントロピーを予測または偽造するケースが多いです。
損失の評価
ここで注目すべきは、2021年から2022年の期間に盗まれたアドレスの集中が最も高かったという点です。
また、Galaxyが公開した盗難アドレスセット8,680件のうち、実際に損失を報告した被害者と直接結び付けられたのはごく一部のみです。これらのアドレスは約1,778.6 BTCを保有しています。
さらに、公開されたデータセット内のアドレスに関連して損失を報告した192人全員が、約1,790アドレスおよび714.8 Bitcoinに関与していました。
これらの損失は、およそ7,300アドレスで1,596 BTCを超えており、総額は1億ドル以上に相当します。ただし8月16日時点のBitcoin価格では、合計損失額はすでに1億1,500万ドルを超えています。
攻撃者に関して分かっていること
調査中にいくつかの「指紋」が発見されました。これらはトランザクションのふるまい、例えばブロックタイミングや手数料、ロック時間、RBF/シーケンス設定、トランザクション構造、送金先アドレスなどに基づいています。
例えばWave 1では、ブロック960,183〜960,191から約1,082.65 BTCが盗まれました。彼らは通常、1トランザクションにつき1人の被害者から4つの集計アドレスへ送金していました。
同様に、Wave 3は63人の被害者を、Wave 2は19人を扱い、Footprint Eは1トランザクションにつき最大795人（中央値118人）の被害者をまとめていました。
送金先の分散パターンにも違いがあり、あるグループは何百カ所にも資金を分散させ、別のグループは少数のアドレスに集中させていました。
最終まとめ
- この脆弱性により192人が被害を受け、約714.8 Bitcoinが流出。
- これらの大きな損失のほとんどは2021年から2022年の間に発生しました。
