Trasferimento di Bitcoin Recuperati
Gli operatori whitehat hanno trasferito 52,37 BTC collegati all’exploit del wallet Coldcard avvenuto a luglio in un indirizzo associato a un fondo di recupero creato per restituire i Bitcoin salvati ai legittimi proprietari. Alex Thorn, responsabile della ricerca di Galaxy Digital, ha dichiarato che i Bitcoin provenivano dal cluster Wave 2 tracciato e da impronte etichettate AA, AU e AX, con la consolidazione registrata nel blocco Bitcoin 967.948. Thorn ha affermato che l’importo rappresentava il 2,8% dei fondi dell’exploit che il suo team stava monitorando.
Dettagli della Transazione
La transazione di destinazione conteneva un messaggio OP_RETURN che puntava a “claim:cryptorecoverytrust.com”, secondo Thorn. Galaxy Research ha identificato separatamente attività nello stesso blocco che coinvolgevano 20 input e 480 output, pubblicando l’ID della transazione 38b524ccb8ca260ec705ab980982144857c477658fa39591870ee8cb09bcea47.
Il trasferimento colloca parte dei Bitcoin recuperati sotto il Crypto Recovery Trust, un fondo fiduciario statale del Wyoming istituito per detenere asset digitali recuperati da wallet compromessi mentre vengono verificate le rivendicazioni di proprietà.
Il Crypto Recovery Trust afferma che il suo ruolo è riunire gli asset recuperati con i loro legittimi proprietari attraverso un processo formale di rivendicazione. Il suo sito web identifica l’entità legale come il Recovered Digital Asset Statutory Trust del Wyoming e nomina Agentic Trace LLC come fiduciario.
Attività di Recupero e Sicurezza
Il Digital Asset Recovery Trust, o DART, aveva già divulgato il lavoro di recupero collegato all’incidente di Coldcard prima dell’ultima consolidazione. DART ha riportato che esso e ricercatori whitehat indipendenti avevano messo in sicurezza poco più di 50 BTC da indirizzi vulnerabili al 17 agosto, trasferendo i fondi prima che attori malintenzionati potessero raggiungerli.
DART ha affermato che i Bitcoin recuperati sono stati collocati nel fondo invece di portafogli controllati dai ricercatori o conti operativi. Il suo processo include analisi della blockchain, controlli di prova di proprietà e screening delle sanzioni prima che gli asset possano essere restituiti. I fondi che coinvolgono rivendicazioni concorrenti, restrizioni sulle sanzioni o procedimenti penali possono seguire procedure legali separate.
Dettagli sull’Incidente di Coldcard
L’incidente di Coldcard è iniziato il 30 luglio, dopo che gli attaccanti hanno sfruttato semi di wallet Bitcoin indeboliti creati dal firmware compromesso. Il registro degli incidenti attuale di Coinkite spiega che un difetto di integrazione del firmware ha causato il percorso di generazione del seed a risolversi nel generatore pseudocasuale Yasmarang di MicroPython, invece del generatore di numeri casuali hardware previsto.
Coinkite afferma che gli attaccanti hanno rigenerato chiavi private vulnerabili offline, dopo che la ridotta casualità ha reso più facile la ricerca delle frasi seed interessate.
L’azienda descrive l’incidente come un fallimento nella generazione del seed del firmware, non come un takeover remoto dei dispositivi Coldcard. Ricerche tecniche indipendenti hanno rintracciato la debolezza a cambiamenti del firmware risalenti al 2021.
Correzioni e Raccomandazioni
Coinkite ha rilasciato correzioni di emergenza il 31 luglio per le linee di firmware interessate. L’archivio di download dell’azienda mostra le versioni standard Mk4/Mk5 5.6.0 e Q 1.5.0Q come i primi rilasci standard che correggono la generazione futura dei seed, mentre patch separate coprivano i dispositivi Mk2/Mk3 più vecchi e il firmware Edge.
Le attuali versioni standard raccomandate sono Mk4/Mk5 5.6.2 e Q 1.5.2Q, entrambe emesse il 3 settembre. Coinkite sottolinea che l’installazione di firmware corretto non cambia un seed esistente.
Processo di Recupero e Verifica
Il processo di recupero ora si concentra sulla verifica di chi controllava gli indirizzi da cui i whitehat hanno prelevato Bitcoin. Il Crypto Recovery Trust consente ai richiedenti di cercare informazioni di recupero, monitorare una rivendicazione presentata e fornire ulteriori prove di supporto attraverso il suo sito web.
DART afferma che il fondo è stato strutturato per segregare i Bitcoin recuperati dai fondi dei ricercatori e operativi, mentre viene stabilita la proprietà. Gli avvocati della pratica di sicurezza nazionale di Steptoe consigliano il fiduciario, secondo la divulgazione di DART, poiché alcuni asset restituiti potrebbero richiedere revisioni di sanzioni, di applicazione della legge o di proprietà concorrente.
Per i wallet che si basano ancora su semi creati sotto firmware Coldcard compromesso, le attuali istruzioni di Coinkite rimangono invariate: installare e verificare un rilascio di firmware corretto, creare un nuovo seed secondo il processo corretto e spostare i fondi lontano dal seed vulnerabile.
