Информация о краже Coldcard
Следователи могли предоставить властям США информацию, способную идентифицировать нападавшего, ответственного за первую волну кражи Coldcard, сообщает Bitcoin Magazine 18 августа. Алекс Торн из Galaxy Research заявил, что личность нападавшего первой волны «может быть известна правоохранительным органам». Его заявление было осторожным, и ФБР публично не подтвердило идентификацию подозреваемого, открытие дела, арест или возврат украденного Bitcoin.
Детали первой волны кражи
Первая волна вывела 1,082.65 BTC из кошельков, созданных с использованием уязвимого программного обеспечения Coldcard. При недавней цене Bitcoin около $64,000, эти монеты стоили бы примерно $69 миллионов, а не $11.8 миллионов.
Расследование и обнаружение
Руководитель Block Engineering Клей Гарретт сообщил, что следователи обнаружили необычный шаблон в действиях нападавшего на блокчейне. Оператор предположительно использовал платный аккаунт у неназванного поставщика данных блокчейна для запроса исходных адресов и выполнения связанных действий.
Поиск хакера Coldcard. Вор первой волны может быть известен ФБР через контакт с поставщиком, чьи внутренние журналы, как сообщается, совпадали с числом, временем и последовательностью подозреваемых запросов с «необычайной точностью».
Гарретт сообщил, что Block передал соответствующую информацию соответствующим властям. Аккаунт мог содержать записи о платежах, доступе или подписках. Однако нет публичных доказательств, которые бы устанавливали, какие записи были сохранены, кто контролировал аккаунт или получал ли сервис точную идентифицирующую информацию.
Статус расследования
Block также заявил, что не нашел доказательств того, что поставщик сознательно содействовал краже. Компания, похоже, предоставила обычные услуги, не зная, как будет использована информация. Сообщение Bitcoin Magazine связало следственные данные с ФБР, но ни одно заявление ФБР не подтверждает это утверждение.
В публичных записях не было найдено ни уголовного иска, ни обвинительного акта, ни заявления о конфискации. Таким образом, формулировка Торна важна. Личность, которая «может быть известна», не является тем же самым, что и проверенный подозреваемый или обвиняемый. Следователи все еще должны установить, кто управлял аккаунтом, кто контролировал получающие адреса и поддерживает ли доказательства уголовные обвинения.
Текущая ситуация с украденными средствами
Средства первой волны остаются видимыми на связанных адресах. Как ранее сообщал crypto.news, баланс крупнейшего нападавшего, который не был перемещен, не поступал на известную биржу или миксер. Эти монеты не заморожены. Транзакции Bitcoin не могут быть отменены или заблокированы на уровне протокола. Восстановление потребует контроля над приватными ключами, добровольного возврата или последующего перевода через посредника, способного выполнить законный приказ о конфискации.
Анализ и выводы
Последняя публичная страница исследований Galaxy перечисляет потери как минимум в 1,700 BTC по нескольким волнам. Другие суммы остаются выше, поскольку исследователи используют разные кластеры адресов, стандарты подтверждения и отчеты жертв. Поздние волны кражи продемонстрировали различные шаблоны транзакций.
Исследователи предостерегли, что более одного участника могло воспользоваться слабым пространством семян после того, как информация о недостатке стала публичной. Это различие означает, что идентификация первого оператора не обязательно решит каждую кражу.
Galaxy распространила подозреваемые адреса среди следователей, бирж и аналитических компаний, но ни одно агентство не объявило о восстановлении. В связанном материале ранее проведенный технический обзор crypto.news показал, что инцидент был связан со слабой генерацией семян, а не с компрометацией протокола Bitcoin или физическим доступом к устройствам.
Технические аспекты уязвимости
Консультация Coinkite сообщает, что затронутое программное обеспечение Mk2 и Mk3 генерировало семена с недостаточной энтропией, начиная с версии 4.0.1. Семена, созданные на определенных версиях Mk4, Mk5 и Q, также были подвержены риску, хотя их снижение энтропии было менее серьезным.
Исправленное программное обеспечение предотвращает тот же дефект при генерации новых семян. Установка обновления не исправляет существующее уязвимое семя. Пользователи должны сначала обновить, создать совершенно новое семя и переместить свои средства после проверки тестовой транзакции.
Текущий статус Coinkite сообщает, что его формальный технический анализ все еще продолжается. Он также сообщает, что были проведены целевые независимые проверки, но не устанавливают, что каждый исправленный бинарный файл прошел полный аудит.
Заключение
Инцидент вызвал призывы к независимым аудитам оборудования. Непосредственные вопросы теперь касаются того, могут ли власти связать платный аккаунт с человеком, перемещаются ли средства первой волны и подтвердят ли судебные записи в конечном итоге расследование.
