Coldcard saldırganı haftalar sonra 30,185 BTC transfer etti

Coldcard donanım cüzdanı saldırısıyla ilişkilendirilen bir Bitcoin cüzdanı, 7 Ağustos’ta 30,185 BTC taşıdı. Yaklaşık 1,94 milyon dolar değerindeki tutar, zincir üstü veri izleme hesabı Lookonchain’in paylaştığı bilgilere göre yeni oluşturulan bir adrese gönderildi. Bu işlem, saldırganla bağlantılı adreslerde haftalardır görülen ilk hareket olarak kayda geçti.

İlk hareket dikkat çekti

Aktarılan 30,185 BTC, saldırıyla ilişkilendirilen tahmini 2.055 BTC’nin yaklaşık %1,5’ine karşılık geliyor. Söz konusu transfer, ilk ihlalin ardından saldırgana bağlı varlıklarda bildirilen ilk hareket oldu. İşlemin ardından fonların satılıp satılmayacağı ya da başka bir hizmete yönlendirilip yönlendirilmeyeceği ise henüz netlik kazanmadı.

Lookonchain, Coldcard saldırganının yeniden hareket ettiğini ve yaklaşık 130 milyon dolar değerindeki 2.055 BTC içinden 30,185 BTC’nin yeni bir cüzdana aktarıldığını duyurdu.

Bitcoin işlemlerinin açık blokzincir üzerinde izlenebilmesi nedeniyle, bilinen saldırgan adreslerinden çıkan varlıkların takibi mümkün görünüyor. Zincir üstü analistler de son transferin ardından yeni adresi yakın izlemeye aldı. Bundan sonraki olası işlemler, fonların bölünüp bölünmeyeceği veya başka adreslere taşınıp taşınmayacağı konusunda ipucu verebilir.

Saldırının boyutu 100 milyon doları aştı

Galaxy Research, donanım cüzdanlarını hedef alan doğrulanmış üç saldırıda 7.300’den fazla adresten toplam 1.596 BTC çalındığını açıklamıştı. Dördüncü olayın da aynı çerçevede değerlendirilmesi halinde toplam kaybın yaklaşık 2.055 BTC’ye, başka bir ifadeyle 130 milyon dolara ulaştığı hesaplanıyor. Galaxy Research, kripto piyasaları ve blokzincir verileri üzerine çalışan bir araştırma birimi olarak biliniyor.

7 Ağustos’taki transferden önce Galaxy Research, çalınan Bitcoin’lerin yaklaşık %90’ının yerinde durduğunu belirtmişti. Fonlar, hırsızlığın ardından ulaştıkları adreslerde tutuluyordu. Son hareket bu tabloyu değiştirse de, tek başına nakde dönüşüm yapılacağını göstermiyor.

Yazılım açığı öne çıktı

İhlalin, Coinkite tarafından geliştirilen Coldcard donanım cüzdanlarının yazılımındaki bir zafiyetten kaynaklandığı belirtildi. Şirket, sorunun Mart 2021’de piyasaya çıkan sürümü etkilediğini açıkladı. Coinkite’a göre savunmasız yazılım, cüzdan tohumlarını üretirken donanım tabanlı gerçek rastgele sayı üreteci yerine deterministik sözde rastgele sayı üreteci kullandı.

Mini sözlük: Deterministik sözde rastgele sayı üreteci, aynı başlangıç verisiyle öngörülebilir sonuçlar üretebilen yazılım tabanlı bir yöntemdir. Cüzdan tohumu üretiminde yeterli rastgelelik sağlanamazsa, saldırganlar tohum ifadelerini veya özel anahtarları yeniden oluşturabilir.

Bu açık, etkilenen cüzdanları kullanan kişiler için ciddi bir risk yarattı. Çünkü saldırganlar, fiziksel erişim olmadan tohum ifadelerini ya da özel anahtarları yeniden üretebilir. Tohum ifadeleri ve özel anahtarlar, işlemleri imzalama ve cüzdandaki varlıkları kontrol etme yetkisi verdiği için bu bilgilere erişen kişi fonlar üzerinde hakimiyet kurabiliyor.

Yetkililer ve borsalar bilgilendirildi

Coinkite, savunmasız ürün yazılımıyla tohum anahtarı oluşturan kullanıcılara varlıklarını güvenli adreslere taşımalarını ve yeni cüzdan tohumu üretmelerini tavsiye etti. Şirket sorunu gidermek için ürün yazılımı güncellemeleri yayımladı. Buna karşın, savunmasız sürümle daha önce oluşturulmuş mevcut tohumların değiştirilmesi gerektiği uyarısı yapıldı.

Galaxy Research, soruşturma sırasında elde edilen saldırgan ve mağdur adreslerini ABD’deki kolluk kuvvetleri, kripto para borsaları ve siber suç araştırmacılarıyla paylaştığını açıkladı.

Araştırmacılar, 30,185 BTC’yi alan yeni adres üzerindeki hareketleri izlemeyi sürdürüyor. Bundan sonraki transferler, çalınan fonların parçalanıp parçalanmadığına, başka cüzdanlara yönlendirilip yönlendirilmediğine ya da farklı hizmetlere taşınıp taşınmadığına dair daha somut işaretler verebilir.