O maior roubo conhecido ligado à falha da COLDCARD envolve 1.159 BTC mantidos sem movimentação. Contudo, investigadores on-chain identificaram outro invasor tentando ocultar parte dos valores roubados por meio de um mixer.

Valores roubados permanecem em sete endereços

A Galaxy Research informou que o maior roubo associado à vulnerabilidade da COLDCARD atingiu 1.159 BTC. Os recursos permanecem em sete endereços vinculados ao invasor desde a retirada inicial.

De acordo com o monitoramento mais recente, o invasor retirou as unidades de Bitcoin em 41 minutos. Até agora, os investigadores não detectaram transferências dos sete endereços para exchanges, mixers ou outros serviços.

Portanto, os recursos estão sem movimentação, mas não tecnicamente congelados. O protocolo do Bitcoin não pode interromper transações apenas porque investigadores sinalizaram determinado endereço.

Na prática, o invasor pode enfrentar dificuldades para converter os valores em moeda fiduciária ou outros bens. Autoridades, exchanges e empresas de análise blockchain sinalizaram cerca de 600 endereços ligados ao conjunto dos roubos.

Caso ocorra uma transferência para uma exchange em conformidade, a operação poderá acionar controles internos. Essas plataformas também poderão solicitar informações sobre o titular da conta destinatária.

Outro invasor envia 64 BTC para um mixer

Em paralelo, uma atividade on-chain separada indica que outro invasor começou a ocultar parte dos recursos roubados. Analistas rastrearam 64 BTC em uma sequência de transações ligada a um mixer.

Primeiro, o serviço processou cerca de 10 BTC, enquanto aproximadamente 54 BTC retornaram como troco. Depois, o responsável dividiu o restante em saídas de aproximadamente 7 BTC para novas etapas de mistura.

Mixers combinam ou reestruturam transações para dificultar a ligação entre a origem dos recursos e o destino final. Ainda assim, esses serviços não tornam os valores necessariamente impossíveis de rastrear.

Conforme os analistas, as saídas grandes e padronizadas podem facilitar o acompanhamento dessa tentativa de lavagem. Dessa forma, investigadores conseguem seguir os valores enquanto eles passam por novos endereços.

Por outro lado, essa atividade parece separada dos sete endereços que mantêm 1.159 BTC. Relatos anteriores indicaram que vários invasores podem ter explorado a mesma falha.

Por isso, investigadores não devem atribuir automaticamente as movimentações de um grupo a todos os roubos relacionados à COLDCARD.

Galaxy rastreia 1.596 BTC em três ondas

A Galaxy Research confirmou o roubo de 1.596 BTC de aproximadamente 7.300 endereços durante três ondas de ataques. A empresa também identificou 14 incidentes menores ligados à falha na geração de frases-semente.

Uma possível quarta onda elevaria o total para aproximadamente 2.055 BTC. No entanto, a Galaxy não confirmou as perdas adicionais devido à falta de relatos suficientes das vítimas.

A vulnerabilidade surgiu de um erro de firmware que reduziu a aleatoriedade usada para gerar as frases-semente. Assim, os invasores conseguiam reproduzir possíveis combinações offline e derivar endereços de Bitcoin.

Em seguida, eles comparavam os endereços derivados com aqueles visíveis na blockchain. Os criminosos não precisaram acessar fisicamente os dispositivos, obter PINs ou comprometer a rede Bitcoin.

A Coinkite lançou um firmware corrigido. Porém, a atualização não protege frases-semente criadas em versões vulneráveis.

Com isso, os usuários afetados precisam gerar uma frase-semente inteiramente nova. Depois, devem transferir seus recursos para endereços derivados dessa nova combinação.

Autoridades acompanham endereços sinalizados

A Galaxy informou que compartilhou endereços confirmados de invasores e vítimas com autoridades dos Estados Unidos. Exchanges e grupos de investigação cibernética também receberam as informações.

Desse modo, a lista pode ajudar a identificar recursos roubados quando os invasores tentarem usar serviços regulados. A recuperação dos valores, entretanto, permanece incerta.

Um invasor pode transferir os recursos por vários endereços, mixers, plataformas descentralizadas ou serviços fora da jurisdição norte-americana. Posteriormente, ele ainda pode tentar convertê-los por outros meios.

Por fim, a atividade recente no mixer oferece uma nova trilha de transações aos investigadores. Enquanto isso, os 1.159 BTC do maior invasor conhecido continuam expostos ao monitoramento público.