Identificazione dell’Attaccante dei Furti di Coldcard
Gli investigatori potrebbero aver fornito alle autorità statunitensi informazioni in grado di identificare un attaccante responsabile della prima ondata di furti di Coldcard, come riportato da Bitcoin Magazine il 18 agosto. Alex Thorn di Galaxy Research ha affermato che l’identità dell’attaccante della prima ondata “potrebbe essere nota alle forze dell’ordine”. Tuttavia, la sua dichiarazione è stata cauta e l’FBI non ha confermato pubblicamente di aver identificato un sospetto, di aver aperto un caso, di aver effettuato un arresto o di aver recuperato i Bitcoin rubati.
Dettagli sui Furti e Sulle Indagini
La prima ondata ha portato via 1.082,65 BTC da portafogli generati utilizzando firmware Coldcard vulnerabili. Al recente prezzo di Bitcoin, vicino a 64.000 dollari, quelle monete varrebbero circa 69 milioni di dollari, non 11,8 milioni di dollari. Clay Garrett, responsabile dell’ingegneria di Block, ha dichiarato che gli investigatori hanno trovato un modello insolito nelle operazioni on-chain dell’attaccante. L’operatore avrebbe utilizzato un account a pagamento presso un fornitore di dati blockchain non nominato per interrogare indirizzi sorgente e svolgere attività correlate.
Il ladro della prima ondata potrebbe essere noto all’FBI tramite il contatto con il fornitore, i cui registri interni avrebbero corrisposto al numero, al momento e alla sequenza delle richieste sospette con “straordinaria specificità“.
Garrett ha affermato che Block ha passato informazioni rilevanti alle autorità competenti. L’account potrebbe contenere registrazioni di pagamento, accesso o abbonamento. Tuttavia, non ci sono prove pubbliche che stabiliscano quali registrazioni siano state conservate, chi controllasse l’account o se il servizio avesse ricevuto informazioni identificative accurate. Block ha anche dichiarato di non aver trovato prove che il fornitore avesse assistito consapevolmente al furto.
Situazione Legale e Prospettive Future
Il rapporto di Bitcoin Magazine ha collegato la pista investigativa all’FBI, ma nessuna dichiarazione dell’FBI conferma questa rivendicazione. Non è stata trovata alcuna denuncia penale, atto d’accusa, deposito di sequestro o azione di confisca nei registri pubblici. Pertanto, la formulazione di Thorn è importante: un’identità che “potrebbe essere nota” non è la stessa cosa di un sospetto verificato o di un imputato accusato.
Gli investigatori devono ancora stabilire chi gestiva l’account, chi controllava gli indirizzi di ricezione e se le prove supportano accuse penali. I fondi della prima ondata rimangono visibili agli indirizzi associati. Come riportato in precedenza da crypto.news, il saldo non spostato del ladro più grande non è mai entrato in un exchange o mixer noto. Quelle monete non sono congelate. Le transazioni Bitcoin non possono essere annullate o bloccate a livello di protocollo.
Ricerche e Audit sul Firmware Coldcard
L’ultima pagina di ricerca pubblica di Galaxy elenca perdite di almeno 1.700 BTC attraverso più ondate. Altri totali rimangono più alti perché i ricercatori utilizzano diversi cluster di indirizzi, standard di conferma e rapporti delle vittime. Le ondate di furto successive hanno mostrato modelli di transazione diversi. I ricercatori hanno quindi avvertito che più di un attore potrebbe aver sfruttato lo spazio debole dei seed dopo che le informazioni sulla vulnerabilità sono diventate pubbliche.
Galaxy ha distribuito indirizzi sospetti a investigatori, exchange e aziende di analisi, ma nessuna agenzia ha annunciato un recupero.
In una copertura correlata, la precedente revisione tecnica di crypto.news ha scoperto che l’incidente ha coinvolto una generazione di seed debole piuttosto che un compromesso del protocollo Bitcoin o l’accesso fisico ai dispositivi.
Avvisi e Raccomandazioni per gli Utenti
L’avviso di Coinkite afferma che il firmware Mk2 e Mk3 interessato ha generato seed con entropia inadeguata a partire dalla versione 4.0.1. I seed creati su alcune versioni Mk4, Mk5 e Q sono stati anch’essi esposti, sebbene la loro riduzione di entropia fosse meno grave. Il firmware corretto previene lo stesso difetto nella generazione di nuovi seed.
Installare un aggiornamento non ripara un seed vulnerabile esistente. Gli utenti devono prima aggiornare, creare un seed completamente nuovo e spostare i propri fondi dopo aver verificato una transazione di prova. Lo stato attuale di Coinkite afferma che il suo post-mortem tecnico formale è ancora in corso. Afferma anche che sono stati effettuati controlli indipendenti mirati, ma non stabiliscono che ogni binario di firmware corretto abbia ricevuto un audit completo.
L’incidente ha suscitato richieste di audit hardware indipendenti. Le domande immediate riguardano ora se le autorità possano collegare l’account a pagamento a una persona, se i fondi della prima ondata si muovano e se i registri giudiziari confermassero infine un’indagine.
