Przed weekendem informowaliśmy o jednym z największych ataków na użytkowników sprzętowych portfeli bitcoina. Dziś wiadomo już, że był to dopiero początek. Napastnicy ponownie wykorzystali tę samą lukę w urządzeniach Coldcard i zwiększyli swoje łupy do około 1367 BTC, czyli blisko 89 milionów dolarów.
- Szacowane straty użytkowników Coldcard wzrosły z około 594 BTC do 1367 BTC (ok. 88,6 miliona dolarów). Galaxy Research potwierdza, że atak nadal trwa.
- Producent portfeli apeluje o natychmiastowe wygenerowanie nowych seedów i przeniesienie środków. Sama aktualizacja urządzenia nie wystarczy.
Atak na Coldcard nie zakończył się po pierwszej fali
Gdy kilka dni temu producent portfeli sprzętowych Coldcard ostrzegał użytkowników przed krytyczną luką bezpieczeństwa, szacowano, że hakerzy ukradli około 594 BTC z blisko 500 portfeli.
Nowa analiza przygotowana przez Galaxy Research pokazuje jednak, że sytuacja okazała się znacznie poważniejsza.
Badacze zidentyfikowali trzy oddzielne fale ataków, podczas których napastnicy systematycznie opróżniali kolejne portfele podatne na drenaż środków.
Łącznie skradziono już około 1367,05 BTC, czyli blisko 88,6 miliona dolarów, a liczba opróżnionych adresów wzrosła z kilkuset do 4585.
Co istotne, większość skradzionych bitcoinów nadal znajduje się na adresach kontrolowanych przez napastników.
Środki nie zostały jeszcze wyprane ani rozproszone pomiędzy inne portfele, co sugeruje, że sprawcy nie zakończyli swojej operacji.
Źródłem całego problemu pozostaje błąd w oprogramowaniu urządzeń Coldcard.
Chodzi o to, że pewne wersje oprogramowania nieprawidłowo korzystały z generatora liczb losowych, który odpowiada za tworzenie bezpiecznych kluczy prywatnych.
Zamiast tego urządzenie przełączało się na znacznie słabszy mechanizm programowy.
Brzmi niewinnie, ale skutki okazały się katastrofalne.
Klucz prywatny powinien być praktycznie niemożliwy do odgadnięcia, a w tym przypadku liczba możliwych kombinacji była jednak wielokrotnie mniejsza niż zakładali deweloperzy.
Dzięki temu napastnicy mogli po prostu uruchomić odpowiednio wydajne komputery i metodą brute force odtwarzać kolejne seedy bez fizycznego dostępu do urządzeń.
Innymi słowy, nie trzeba było kraść samego portfela, bowiem wystarczyło odgadnąć jego klucz.
Firma Coinkite opublikowała już poprawione wersje oprogramowania dla wszystkich wspieranych modeli oraz wzięła odpowiedzialność za incydent.
Producent podkreśla jednak, że sama aktualizacja oprogramowania nie naprawi już wygenerowanych wcześniej portfeli.
Jeżeli seed został utworzony przy użyciu podatnej wersji oprogramowania, pozostaje podatny również po instalacji poprawek.
Dlatego użytkownicy powinni wygenerować zupełnie nowy portfel, najlepiej na zaktualizowanym urządzeniu, i jak najszybciej przenieść na niego wszystkie bitcoiny.
Największe zagrożenie dotyczy modelu Coldcard Mk3, choć w mniejszym stopniu podatność obejmowała również nowsze urządzenia.
Coinkite podejrzewa również, że odkrycie błędu mogło zostać przyspieszone przez narzędzia wykorzystujące sztuczną inteligencję do analizy otwartego kodu źródłowego.
Co ważne, Galaxy Research ostrzega, że to niekoniecznie musi być koniec tej historii.
Luka jest już publicznie znana, dlatego istnieje ryzyko, że do ataków dołączą kolejni cyberprzestępcy próbujący przejąć bitcoiny z portfeli, których właściciele wciąż nie przenieśli środków na nowe adresy.
To oznacza, że liczba skradzionych BTC może jeszcze wzrosnąć.
Śledź CrypS. w Google News. Czytaj najważniejsze wiadomości bezpośrednio w Google! Obserwuj ->
Zajrzyj na nasz telegram i dołącz do Crypto. Society. Dołącz ->
