Gjenoppretting av Bitcoin fra Coldcard-lommebokutnyttelse
Whitehat-operatører har flyttet 52,37 BTC knyttet til Coldcard-lommebokutnyttelsen i juli til en adresse assosiert med et gjenopprettingsfond opprettet for å returnere reddede Bitcoin til verifiserte eiere. Alex Thorn, leder for forskning i Galaxy Digital, sa at Bitcoin kom fra den sporede Wave 2-klyngen og fotavtrykk merket AA, AU og AX, med konsolideringen registrert i Bitcoin-blokk 967.948. Thorn sa at beløpet representerte 2,8 % av utnyttelsesmidlene hans team sporet.
«Transaksjonen til destinasjonen hadde en OP_RETURN-melding som pekte til «claim:cryptorecoverytrust.com,'» ifølge Thorn.
Galaxy Research identifiserte separat aktivitet i samme blokk som involverte 20 innganger og 480 utganger, og publiserte transaksjons-ID 38b524ccb8ca260ec705ab980982144857c477658fa39591870ee8cb09bcea47. Overføringen plasserer en del av den gjenopprettede Bitcoin under Crypto Recovery Trust, et Wyoming-basert fond opprettet for å holde digitale eiendeler gjenopprettet fra kompromitterte lommebøker mens eierskapskrav blir sjekket. Crypto Recovery Trust opplyser at deres rolle er å gjenforene gjenopprettede eiendeler med deres rettmessige eiere gjennom en formell kravprosess.
Bakgrunn om Coldcard-hendelsen
Coldcard-hendelsen begynte 30. juli etter at angripere utnyttet svekkede Bitcoin-lommebokfrø opprettet av berørt programvare. Coinkites nåværende hendelsesregister forklarer at en programvareintegrasjonsfeil førte til at frøgenereringsveien ble løst til MicroPython sin Yasmarang-programvare, som er en pseudorandom generator, i stedet for den tiltenkte maskinvare tilfeldige tallgeneratoren. Angripere trengte ikke å fjernstyre maskinvarelommebøkene.
Coinkite sier de regenererte sårbare private nøkler offline etter at den reduserte tilfeldigheten gjorde berørte frøfraser lettere å søke. Selskapet beskriver hendelsen som en programvarefrøgenereringsfeil, ikke en fjernkontroll av Coldcard-enheter.
Gjenopprettingsprosessen
Digital Asset Recovery Trust, eller DART, hadde allerede offentliggjort gjenopprettingsarbeid knyttet til Coldcard-hendelsen før den siste konsolideringen. DART rapporterte at de og uavhengige whitehat-forskere hadde sikret litt over 50 BTC fra sårbare adresser per 17. august, og flyttet midlene før ondsinnede aktører kunne nå dem. DART sa at gjenopprettede Bitcoin ble plassert i fondet i stedet for forskerkontrollerte lommebøker eller driftskontoer.
Prosessen deres inkluderer blokkjedanalyse, eierskapsbeviskontroller og sanksjonskontroll før eiendeler kan returneres. Midler som involverer konkurrerende krav, sanksjonsrestriksjoner eller straffesaker kan følge separate juridiske prosedyrer.
Bevegelsen 21. september gir et nyere on-chain perspektiv på disse gjenopprettingsinnsatsene. Thorn knyttet de 52,37 BTC spesifikt til tidligere identifiserte utnyttelsesklynger, mens han beskrev dem som hvit-hattede kontrollerte midler.
Fremtidige tiltak og anbefalinger
Coinkite understreker at installering av fikset programvare ikke endrer et eksisterende frø. En lommebok generert under sårbar programvare kan forbli eksponert selv etter at enheten mottar den nyeste oppdateringen fordi svakheten eksisterer i frøet selv. Brukere med berørte frø blir instruert til å generere et korrigert erstatningsfrø og migrere midler, med mindre de oppfyller selskapets angitte unntak for uavhengige terningkast.
Gjenopprettingsprosessen fokuserer nå på å verifisere hvem som kontrollerte adresser som hvit-hatter feide Bitcoin fra. Crypto Recovery Trust lar kravstillere søke etter gjenopprettingsinformasjon, spore et innsendt krav og gi ytterligere støttende bevis gjennom sitt nettsted.
