Galaxy Research anunció la detección de una tercera oleada de ataques que, según se cree, tienen como objetivo direcciones creadas en dispositivos Coldcard. Esta última oleada habría provocado la retirada de 207,7294 BTC, lo que eleva la pérdida total a 1.367,05 BTC, o aproximadamente 88,6 millones de dólares, en 4.585 direcciones.
Según la firma de investigación, las dos primeras oleadas de ataques mostraron un comportamiento en la cadena de bloques muy similar. En ambas oleadas se observó la transferencia de fondos a un número reducido de direcciones de cobro compartidas, el uso de direcciones P2WPKH y el ataque a monederos provenientes de diferentes rutas de derivación. El intervalo de aproximadamente 27 horas entre las dos oleadas y las similitudes en las estructuras de las transacciones sugieren que los ataques podrían haber sido perpetrados por la misma persona o grupo.
Sin embargo, Galaxy Research hizo hincapié en que existían diferencias entre las dos primeras oleadas en cuanto a las comisiones por transacción y las señales de “sustitución por comisión”, por lo que no se podía demostrar de forma concluyente que el mismo atacante estuviera involucrado.
La tercera oleada podría apuntar a un atacante diferente.
Según Galaxy Research, la tercera oleada de ataques difiere de las dos anteriores en casi todas las características de comportamiento medibles. En lugar de utilizar direcciones de colección compartidas como en los primeros ataques, se descubrió que la tercera oleada creó una dirección de destino independiente para cada víctima.
Se observó que los Bitcoins robados en la tercera oleada se encontraban en direcciones P2WSH en lugar de P2WPKH, y que en cada volcado se agruparon un promedio de 6,37 direcciones de víctimas. En contraste, la primera oleada de ataques se dirigió a una sola dirección de víctima por transacción. Además, se indicó que la tercera oleada solo analizó direcciones a lo largo de la ruta de derivación predeterminada.
Los investigadores señalaron que estos cambios podrían deberse a que el mismo atacante modificó sus herramientas para dificultar el rastreo en la cadena de bloques. Sin embargo, también se observó la posibilidad de que un segundo atacante, dirigido al mismo grupo de claves vulnerables, surgiera tras hacerse pública la información sobre la vulnerabilidad de Coldcard.
Galaxy Research informó que los datos en la cadena de bloques no permitían distinguir de forma definitiva entre estos dos escenarios. La compañía afirmó que, si bien era seguro que cada oleada de ataques fue gestionada por un único operador, no se podía afirmar con certeza que las tres oleadas estuvieran vinculadas al mismo atacante.
Los Bitcoins en las direcciones del atacante aún no se han movido.
Según los cálculos de Galaxy Research, los atacantes controlan un total de 1.366,3865 BTC. Se afirma que no todas las direcciones finales de los atacantes a las que se transfirieron estos Bitcoins, con un valor aproximado de 88,6 millones de dólares, los han gastado aún en la cadena de bloques.
El análisis bloque por bloque reveló que las direcciones se volcaron masivamente durante las oleadas de ataque. La ausencia de operaciones de volcado en bloques intermedios dentro de cada oleada que pudieran atribuirse a los atacantes indicó que las operaciones se enviaron a la red en grupos, no de forma continua.
Se observó que las pérdidas se concentraban principalmente en monederos con saldos inferiores a 1 BTC en cuanto al número de direcciones, pero las direcciones con saldos mayores resultaron decisivas en términos de valor total. Galaxy Research evaluó que esta distribución se asemejaba más a la de los monederos de custodia de usuarios individuales que a la de los servicios de custodia institucionales.
El estudio también indicó que el software vulnerable Coldcard se lanzó el 17 de marzo de 2021, alrededor del bloque 674.951 de la red Bitcoin. Galaxy Research afirmó que ninguno de los Bitcoins identificados como robados en las tres primeras oleadas de ataques se creó antes de este bloque.
*Esto no constituye asesoramiento de inversión.
