Seorang peretas yang terkait dengan gelombang ketiga pencurian dompet Coldcard mulai mengubah Bitcoin curian menjadi Ether melalui THORChain pada 3 September, menurut Alex Thorn dari Galaxy Research.
Transaksi tersebut memindahkan sekitar 10% dari Bitcoin yang dikendalikan oleh penyerang tersebut, kata Thorn. Sekitar 90% masih berada di alamat aslinya ketika dia menerbitkan pembaruan.
Para peneliti melacak pertukaran melalui THORChain ke alamat Ethereum yang baru diidentifikasi. Thorn mengatakan dia membagikan alamat tersebut kepada penegak hukum, perusahaan kripto, dan organisasi lain yang memantau aset yang dicuri.
THORChain memungkinkan pengguna untuk menukar aset asli lintas blockchain tanpa menyetorkan dana ke bursa terpusat. Oleh karena itu, protokol ini dapat mengubah Bitcoin asli menjadi Ether tanpa bergantung pada platform kustodian konvensional.
Namun, tidak setiap transaksi berhasil. Thorn mengatakan peretas tampaknya mengalami masalah teknis saat mencoba memproses pertukaran.
“Peretas tampaknya mengalami beberapa masalah dalam menukar semua dana melalui THORChain — dana tersebut terus dikembalikan dan dia terus mencoba lagi,” kata Thorn.
Penyebab pengembalian dana tidak segera dikonfirmasi. Penjelasan yang mungkin termasuk keterbatasan likuiditas, pengaturan transaksi, atau perlindungan protokol, tetapi belum ada penilaian teknis yang diverifikasi yang menetapkan alasannya.
Pergerakan ini merupakan transfer on-chain pertama yang terdeteksi dari alamat asli yang terkait dengan tiga gelombang serangan pertama, menurut Thorn. Analis sekarang akan memantau apakah ETH yang dihasilkan berpindah ke bursa terpusat, bridge, atau layanan privasi.
Galaxy Research sebelumnya mengaitkan hilangnya 1.789,28 BTC di 8.865 alamat dengan kerentanan Coldcard. Bitcoin tersebut bernilai sekitar $114,7 juta ketika dicuri.
Seperti yang dilaporkan crypto.news sebelumnya, sekitar 87% dari Bitcoin yang teridentifikasi masih belum dipindahkan pada 25 Agustus. Estimasi ini mencakup dana yang terkait dengan banyak penyerang dan gelombang serangan, tidak hanya dompet yang sekarang menggunakan THORChain.
Angka-angka Galaxy sebagian bergantung pada 221 laporan korban yang mencakup 790,72 BTC. Analisis on-chain mengidentifikasi alamat tambahan yang terpengaruh di luar yang dilaporkan langsung oleh pelanggan.
Jumlah total masih merupakan perkiraan karena para peneliti telah mengidentifikasi beberapa pola penyerang dengan tingkat kepercayaan yang berbeda. Galaxy telah membedakan atribusi kepercayaan tinggi miliknya dari alamat lain yang mungkin juga terkait dengan kerentanan tersebut.
Pertukaran THORChain terbaru terpisah dari aktivitas pencucian sebelumnya yang dikaitkan dengan penyerang lain. CertiK melaporkan pada bulan Agustus bahwa dompet yang terkait dengan insiden yang lebih luas mengirimkan 64 BTC dan 200 ETH ke pencampur mata uang kripto.
Dalam liputan terkait, crypto.news menemukan bahwa satu penyerang menyimpan 1.159 BTC sementara penyerang lain mulai mencampur jumlah yang lebih kecil. Pergerakan yang berbeda menunjukkan bahwa beberapa pihak mungkin telah mengeksploitasi kelemahan yang sama.
Pencampur dan pertukaran lintas-rantai dapat mempersulit pelacakan, tetapi mereka tidak secara otomatis membuat dana tidak dapat dilacak. Penyelidik dapat terus melacak transfer ketika aset masuk dan keluar dari protokol publik.
Bursa terpusat tetap menjadi titik intervensi potensial karena mereka melakukan pemeriksaan identitas dan sanksi. Thorn mengatakan tujuan Ethereum baru telah didistribusikan ke perusahaan terkait sehingga mereka dapat mengidentifikasi setoran berikutnya.
Pencurian tersebut terkait dengan generasi seed yang lemah pada firmware Coldcard yang dirilis sejak tahun 2021. Kerentanan ini mengurangi keacakan yang melindungi beberapa kredensial dompet, memungkinkan penyerang untuk menghitung kunci pribadi tanpa mengakses perangkat secara fisik.
Coinkite, produsen Coldcard, mengatakan firmware yang diperbaiki tersedia di seluruh model yang terpengaruh. Pedoman keamanannya saat ini menyatakan bahwa seed rentan yang sebelumnya dihasilkan masih memerlukan migrasi.
Menginstal firmware yang diperbarui tidak memperbaiki seed yang dibuat di bawah perangkat lunak yang terpengaruh. Pengguna harus membuat seed baru dengan firmware yang diperbaiki dan mentransfer Bitcoin mereka ke alamat yang dikendalikan oleh dompet baru tersebut.
Sementara itu, penyerang juga tetap aktif setelah gelombang pencurian terbesar berakhir. Pada 29 Agustus, sebuah alamat yang terkait dengan operasi tersebut menyapu Bitcoin dari dompet peneliti yang sengaja dilemahkan, menurut Thorn. Para peneliti membuat dompet tersebut untuk menguji apakah penyerang terus mencari kunci pribadi yang dapat diprediksi. Kompromi cepat tersebut menunjukkan bahwa pemindaian otomatis tetap aktif hampir satu bulan setelah pencurian besar pertama.
Insiden ini juga mendorong pemeriksaan lebih dekat tentang bagaimana dompet perangkat keras menghasilkan frasa pemulihan. Berbeda dengan serangan phishing, pencurian Coldcard tidak mengharuskan korban untuk menyetujui transaksi atau mengungkapkan kredensial. Seed yang terekspos mengandung keacakan yang tidak cukup, memungkinkan penyerang untuk mendapatkan kunci dari jarak jauh dan mengidentifikasi alamat yang didanai di buku besar publik Bitcoin. Seperti yang dijelaskan crypto.news sebelumnya, cacat firmware melemahkan seed yang dihasilkan pada perangkat yang terpengaruh, yang berarti praktik penyimpanan yang aman tidak dapat melindungi dana yang terikat pada kredensial tersebut.
Galaxy dan penyelidik lainnya diperkirakan akan terus memantau alamat Ethereum baru tersebut. Tidak ada pemulihan publik, penangkapan, atau identifikasi resmi penyerang yang diumumkan ketika transfer dilaporkan.
