Investigación sobre los Robos de Coldcard
Los investigadores han proporcionado a las autoridades de EE. UU. información que podría ayudar a identificar al atacante responsable de la primera ola de robos de Coldcard, según informó Bitcoin Magazine el 18 de agosto. Alex Thorn, de Galaxy Research, mencionó que la identidad del atacante de esta primera ola «podría ser conocida por las fuerzas del orden». Sin embargo, su declaración fue cautelosa, y el FBI no ha confirmado públicamente la identificación de un sospechoso, la apertura de un caso, la realización de un arresto o la recuperación de los Bitcoin robados.
Detalles de la Primera Ola de Robos
La primera ola de robos sustrajo 1,082.65 BTC de billeteras generadas utilizando un firmware vulnerable de Coldcard. A un precio reciente de Bitcoin de aproximadamente $64,000, esas monedas tendrían un valor cercano a $69 millones, y no $11.8 millones como se había mencionado anteriormente. Clay Garrett, líder de ingeniería de Block, indicó que los investigadores encontraron un patrón inusual en las transacciones en cadena del atacante. Se sospecha que el operador utilizó una cuenta paga en un proveedor de datos de blockchain no nombrado para consultar direcciones de origen y realizar actividades relacionadas.
Posible Identificación del Ladrón
El ladrón de la primera ola podría ser conocido por el FBI a través del contacto con el proveedor, cuyos registros internos supuestamente coincidían con el número, el tiempo y la secuencia de las solicitudes sospechosas con «especificidad extraordinaria». Garrett afirmó que Block ha transmitido la información relevante a las autoridades competentes. La cuenta podría contener registros de pago, acceso o suscripción. Sin embargo, no hay evidencia pública que establezca qué registros se retuvieron, quién controlaba la cuenta o si el servicio recibió información identificativa precisa. Block también declaró que no encontró evidencia de que el proveedor hubiera ayudado intencionalmente al robo, sugiriendo que la empresa parecía haber proporcionado servicios ordinarios sin saber cómo se utilizaría la información.
Estado Actual de la Investigación
El informe de Bitcoin Magazine vinculó esta pista de investigación al FBI, pero ninguna declaración oficial del FBI confirma dicha afirmación. No se ha localizado ninguna denuncia penal, acusación, presentación de confiscación o acción de decomiso en el registro público. Por lo tanto, la redacción de Thorn es importante: una identidad que «podría ser conocida» no es lo mismo que un sospechoso verificado o un acusado formal. Los investigadores aún deben establecer quién operaba la cuenta, quién controlaba las direcciones receptoras y si la evidencia respalda cargos criminales.
Fondos y Tendencias de Robo
Los fondos de la primera ola siguen siendo visibles en direcciones asociadas. Como informó anteriormente crypto.news, el saldo no movido del mayor atacante no ha ingresado a un intercambio o mezclador conocido. Estas monedas no están congeladas. Las transacciones de Bitcoin no pueden ser revertidas o bloqueadas a nivel de protocolo. La recuperación requeriría el control de las claves privadas, un retorno voluntario o una transferencia posterior a través de un intermediario capaz de cumplir con una orden de confiscación legal. La última página de investigación pública de Galaxy enumera pérdidas de al menos 1,700 BTC a través de múltiples olas. Otros totales permanecen más altos porque los investigadores utilizan diferentes grupos de direcciones, estándares de confirmación e informes de víctimas.
Las olas de robo posteriores mostraron diferentes patrones de transacción, lo que ha llevado a los investigadores a advertir que más de un actor podría haber explotado el espacio de semillas débiles después de que la información sobre la falla se hiciera pública. Esta distinción significa que identificar al primer operador no necesariamente resolvería cada robo. Galaxy ha distribuido direcciones sospechosas a investigadores, intercambios y empresas de análisis, pero ninguna agencia ha anunciado una recuperación.
Detalles Técnicos del Incidente
En cobertura relacionada, la revisión técnica anterior de crypto.news encontró que el incidente involucró una generación de semillas débiles en lugar de una violación del protocolo de Bitcoin o acceso físico a los dispositivos. El aviso de Coinkite indica que el firmware afectado Mk2 y Mk3 generó semillas con entropía inadecuada a partir de la versión 4.0.1. Las semillas creadas en ciertos lanzamientos Mk4, Mk5 y Q también fueron expuestas, aunque su reducción de entropía fue menos severa. El firmware corregido previene el mismo defecto al generar nuevas semillas. Instalar una actualización no repara una semilla vulnerable existente; los usuarios deben actualizar primero, crear una semilla completamente nueva y mover sus fondos después de verificar una transacción de prueba.
El estado actual de Coinkite indica que su autopsia técnica formal sigue en progreso. También menciona que se han realizado verificaciones independientes dirigidas, pero no se establece que cada binario de firmware corregido haya recibido una auditoría completa. El incidente ha provocado llamados a auditorías independientes de hardware. Las preguntas inmediatas ahora conciernen a si las autoridades pueden conectar la cuenta paga a una persona, si los fondos de la primera ola se moverán y si los registros judiciales eventualmente confirmarán una investigación.
