coldcard

Theo giám sát của Giám đốc Nghiên cứu Galaxy, sự cố mất cắp COLDCARD Seed Entropy đã dẫn đến việc 1830 BTC bị đánh cắp, liên quan đến 3 đợt tấn công và hơn 30 dấu hiệu liên quan nhỏ hơn.Đã có 256 nạn nhân phản ánh tình hình với GLXY Research, mức tổn thất trung bình là 1.1 BTC, việc truy tìm kẻ tấn công vẫn đang tiếp tục.

Theo dõi của Bitcoin News, lô Bitcoin này có giá trị hơn 4 triệu USD, chiếm khoảng 2.8% tổng số Bitcoin liên quan đến lỗ hổng Coldcard. Crypto Recovery Trust sẽ xác minh quyền sở hữu quỹ và cố gắng hoàn trả.Giám đốc nghiên cứu của Galaxy Digital, Alex Thorn, cho biết, còn có 3.0134 BTC đã được chuyển vào địa chỉ này trong cùng một giao dịch, nhưng nguồn gốc của nó vẫn chưa được xác nhận.

Các nhà hành động mũ trắng sẽ chuyển 40.71 Bitcoin liên quan đến lỗ hổng Coldcard vào một giao dịch, trị giá khoảng 3.31 triệu USD. Giao dịch này tập hợp quỹ từ 11 địa chỉ và kèm theo thông tin OP_RETURN hướng đến Crypto Recovery Trust.Alex Thorn, người đứng đầu Galaxy Research, tiết lộ rằng việc tập hợp quy mô lớn hơn đã chuyển tổng cộng 52.37 Bitcoin, liên quan đến nhiều cụm địa chỉ của kẻ tấn công, chiếm khoảng 2.8% quỹ liên quan đến lỗ hổng này. Lỗi firmware của thiết bị Coldcard vào tháng 3 năm 2021 đã dẫn đến việc ngẫu nhiên hóa cụm từ không đủ, với quỹ liên quan đạt đỉnh khoảng 130 triệu USD.

Theo giám sát của Giám đốc nghiên cứu Galaxy, quỹ White Hat của Coldcard sẽ được chuyển từ 52.37 BTC của Wave 2, Footprints AA, AU, AX đến một địa chỉ mới, địa chỉ này đã ghi thông tin OP_RETURN "claim:cryptorecoverytrust dot com" trong khối số 967,948.Những quỹ White Hat này chiếm 2.8% quỹ tấn công lỗ hổng của Coldcard.

Ví dụ về lỗi firmware của ví phần cứng Coldcard vào năm 2021 đã dẫn đến việc một số hạt giống phục hồi có độ ngẫu nhiên không đủ. Kể từ ngày 30 tháng 7, kẻ tấn công đã chuyển khoảng 1.600 đến 1.800 Bitcoin từ các ví bị ảnh hưởng, liên quan đến hàng nghìn địa chỉ, với giá trị vượt quá 100 triệu đô la. Nhà sản xuất Coldcard, Coinkite, cho biết cần giả định rằng có ai đó đã sử dụng AI để kiểm tra firmware công khai của họ. Lỗi này đã tồn tại khoảng năm năm, việc AI có tham gia vào các cuộc tấn công liên quan hay không vẫn chưa được xác nhận.Nhà nghiên cứu Taylor Hornby từ Shielded Labs đã sử dụng đại lý kiểm toán Claude Opus 4.8, phát hiện ra một lỗi trong mạch bể chắn Zcash Orchard bắt đầu từ năm 2022, có thể tạo ra một lượng ZEC giả mạo vô hạn mà không để lại dấu vết trong quá trình thử nghiệm. Các nhà phát triển đã hoàn thành việc sửa chữa trong vài ngày, không xác nhận có xảy ra việc đánh cắp tiền.Dữ liệu thống kê từ công ty phân tích blockchain Chainalysis cho thấy, lượng ghi trên chuỗi mang theo mã độc và thông tin điều khiển lệnh đã tăng từ khoảng 2,06 lần lên 11,1 lần mỗi ngày, tăng 440%.

Theo dõi từ Bitcoin News, DART cho biết họ đã cứu được hơn 50 BTC từ các ví bị ảnh hưởng bởi lỗ hổng COLDCARD cùng với các nhà nghiên cứu mũ trắng độc lập, và đã hoàn tất việc chuyển giao trước khi các kẻ tấn công độc hại đánh cắp. DART là một tổ chức phục hồi tài sản kỹ thuật số, hợp tác với các nhà nghiên cứu mũ trắng để bảo vệ các quỹ có lỗ hổng và phối hợp để trả lại hợp pháp cho chủ sở hữu.Các nhà nghiên cứu mũ trắng không yêu cầu phần thưởng và sẽ trả lại Bitcoin cho chủ sở hữu. Số BTC được cứu đã được chuyển vào Crypto Recovery Trust. Quỹ tín thác này được thành lập theo luật của bang Wyoming, nhằm giữ các tài sản kỹ thuật số đã được phục hồi và sẽ được trả lại sau khi xác nhận và kiểm tra chủ sở hữu hợp pháp.Quỹ tín thác sẽ ghi lại quá trình phục hồi, tách biệt BTC với quỹ của DART và các nhà nghiên cứu, thực hiện phân tích blockchain, kiểm tra quyền sở hữu và sàng lọc trừng phạt, đồng thời cung cấp quy trình trả lại hợp pháp cho các chủ sở hữu đã được xác minh. Nếu có tranh chấp về quyền sở hữu, hoặc các quỹ liên quan đến trừng phạt hoặc thủ tục hình sự, BTC sẽ được xử lý theo quy trình pháp lý áp dụng. DART cho biết, các tài sản có lỗ hổng khác và các manh mối phục hồi vẫn đang được xem xét.

Theo dõi của Bitcoin News, kẻ trộm Coldcard đang ưu tiên làm sạch phần lớn nhất trong kho lạnh đợt ba. Galaxy Research cho biết, những ví này đã chuyển ra 97.09 BTC, trị giá khoảng 7.7 triệu USD, chiếm khoảng 45% tài sản trong lô này.Kẻ tấn công đã tự tạo ra 293 kho lạnh 2/2, từng chuyển một phần token qua THORChain vào ngày 2 tháng 9, sau đó vào cuối tuần đã chuyển vào nhiều vòng CoinJoin. Lỗ hổng này xuất phát từ một lỗi firmware năm 2021, dẫn đến độ ngẫu nhiên của hạt giống giảm xuống còn tối thiểu 40 bit. Trong số các token bị đánh cắp do lỗ hổng này, khoảng 82% vẫn chưa được chuyển đi.

Theo báo cáo của Decrypt, Galaxy Research cho biết, những kẻ tấn công trong đợt tấn công thứ ba vào ví phần cứng Coldcard gần đây đã chuyển 97.09 BTC, tương đương khoảng 7.7 triệu USD theo giá hiện tại, chiếm khoảng 45% tổng số Bitcoin bị đánh cắp trong đợt này.Trong đó, những kẻ tấn công đã chuyển khoảng 20.5 BTC qua THORChain sang Ethereum vào ngày 2 tháng 9; sau đó lại chuyển một phần tiền vào quy trình CoinJoin để tăng độ khó trong việc theo dõi tiền. Hiện tại, trong số 293 địa chỉ đa chữ ký 2-of-2 được thiết lập bởi những kẻ tấn công trong đợt tấn công thứ ba, đã có 11 địa chỉ bị rút sạch.Báo cáo cho biết, sự cố an ninh Coldcard lần này bắt nguồn từ một lỗ hổng firmware được giới thiệu vào năm 2021, dẫn đến việc ngẫu nhiên hóa trong việc tạo ra cụm từ khôi phục ví bị giảm đáng kể, khiến cho những kẻ tấn công có thể tái tạo khóa riêng offline và đánh cắp tiền. Đến nay, khoảng 82% số BTC bị đánh cắp trong toàn bộ sự cố tấn công Coldcard vẫn chưa được chuyển đi.Galaxy Research cho rằng, nếu đưa vào thống kê các địa chỉ nghi vấn mới phát hiện, tổng số BTC bị đánh cắp có thể đạt khoảng 1806 BTC, tương đương khoảng 144 triệu USD.

Galaxy Research đã công bố rằng, kẻ tấn công trong sự kiện tấn công "Wave 3" của Coldcard vẫn đang tiếp tục chuyển tiền bị đánh cắp. Trong giai đoạn này, kẻ tấn công đã tạo ra 293 kho lưu trữ đa chữ ký 2-of-2 cho từng nạn nhân. Lần chuyển tiền đầu tiên đã được thực hiện qua THORChain sang Ethereum; vòng chuyển tiền mới nhất đã bắt đầu vào quy trình CoinJoin.Hiện tại, kẻ tấn công Wave 3 đang xử lý số tiền lớn nhất theo thứ tự bị đánh cắp, đã chuyển tiền từ kho lưu trữ xếp hạng từ 1 đến 11. 10 kho lưu trữ tiếp theo chưa được chuyển tổng cộng nắm giữ 30.81 BTC, trong khi các kho lưu trữ xếp hạng từ 61 đến 293 tổng cộng nắm giữ 33.77 BTC. Đến thời điểm hiện tại, kẻ tấn công đã chuyển khoảng 45% tài sản bị đánh cắp trong lần khai thác này, tiền đã chảy vào Ethereum (qua THORChain) hoặc vào giao dịch CoinJoin. Ngoài ra, việc chuyển tiền này còn phát hiện một kho lưu trữ chưa từng biết đến trước đây: 58 địa chỉ đã chi tiêu chung theo cách đa chữ ký 2-of-2 với định dạng giống như Wave 3, và đã được kẻ tấn công Wave 3 chuyển vào một địa chỉ nhảy để cung cấp tiền cho CoinJoin.Nhóm phân tích trên chuỗi hiện đã đánh dấu kho lưu trữ này là "cause = open", nhưng cho rằng nó rất có thể cũng thuộc về nạn nhân của Coldcard, điều này có nghĩa là số lượng kho lưu trữ liên quan đến Wave 3 có thể tăng lên 294, và tổng số tiền bị đánh cắp từ lỗ hổng Coldcard được công bố trước đó có thể tăng lên khoảng 1806 BTC. Hiện tại, khoảng 82% BTC bị đánh cắp vẫn nằm trong địa chỉ mà kẻ tấn công ban đầu kiểm soát, khoảng 18% đã được chuyển đi, và dòng tiền cho thấy nó có thể đang được xử lý rửa tiền.

Bitcoin News đã đăng bài trên nền tảng X cho biết, Coldcard đang bổ sung dần dần hàng tồn kho của các nhà phân phối với việc sản xuất thiết bị mới. Khoảng một tháng trước, lỗ hổng entropy của Coldcard đã dẫn đến việc hơn 100 triệu đô la Mỹ giá trị Bitcoin của người dùng bị đánh cắp; công ty cho biết, nhiều nhà phân phối đã nộp đơn xin bổ sung hàng tồn kho, thiết bị vẫn đang được bán liên tục.

Theo dõi của Bitcoin News, những kẻ hack liên quan đến vụ trộm thứ ba của ví Coldcard đã bắt đầu chuyển tiền bị đánh cắp và đổi Bitcoin sang ETH thông qua THORChain. Alex Thorn từ Galaxy Research cho biết, khoảng 10% BTC bị đánh cắp đã được chuyển đi, trong khi 90% còn lại vẫn chưa được sử dụng.Kẻ tấn công được báo cáo đã gặp khó khăn trong việc đổi tiền, nhiều giao dịch THORChain đã bị trả lại và thử lại. Các nhà nghiên cứu đã theo dõi các giao dịch đổi tiền liên quan đến một địa chỉ Ethereum mới, Alex Thorn cho biết, địa chỉ này đã được chia sẻ với các cơ quan chức năng và các công ty tiền điện tử. Galaxy Research cho biết, sự khai thác lỗ hổng Coldcard rộng rãi hơn đã dẫn đến việc 8865 địa chỉ ít nhất mất 1789 BTC, theo giá trị vào thời điểm bị đánh cắp, tương đương khoảng 115 triệu USD.

Theo giám sát của Giám đốc Nghiên cứu Galaxy, kẻ tấn công COLDCARD Wave 3 đã lần đầu tiên chuyển tiền bị đánh cắp và đổi chúng thành ETH thông qua DEX đa chuỗi THORChain. Đây là lần đầu tiên tiền được chuyển trên chuỗi từ địa chỉ hacker gốc trong Wave 1, 2 hoặc 3.

Tin tức từ ChainCatcher, Blockstream cho biết, Jade không bị ảnh hưởng bởi lỗ hổng của bộ sinh số ngẫu nhiên Coldcard, và đã phát hành firmware 1.41 sau khi nhận được nhiều đánh giá an ninh hỗ trợ bởi AI. Jade cho biết, họ đã trải qua hàng chục lần quét tự động hóa bằng AI và nhiều lần kiểm tra thủ công, tập trung vào các lĩnh vực nhạy cảm như sinh số ngẫu nhiên và ký giao dịch.Firmware mới đã tăng cường bảo vệ ngăn xếp, cập nhật các phụ thuộc, kiểm toán quy trình dọn dẹp bộ nhớ nhạy cảm, và nâng cấp môi trường hoạt động của Jade. Blockstream cho biết, cơ chế sinh số ngẫu nhiên của Jade sử dụng nhiều nguồn entropy khác nhau, bao gồm tiếng ồn từ chip phần cứng, dữ liệu thời gian, dữ liệu cảm biến và tiếng ồn từ camera, và được trộn bằng SHA-512 để ngăn chặn sự cố từ một nguồn entropy đơn lẻ ảnh hưởng đến việc tạo hạt giống. Nhóm cho biết, các phát hiện nghiêm trọng hơn vẫn đang được xử lý, dự kiến firmware 1.42 sẽ được phát hành trong thời gian phát triển ngắn hơn.

Theo thông tin từ ChainCatcher, theo dõi của Giám đốc Nghiên cứu Galaxy, tin tặc Coldcard vẫn đang hoạt động, một tin tặc đã đánh cắp khóa được tạo ra thông qua 5 lần ném xúc xắc để tăng cường độ ngẫu nhiên.

Tin tức từ ChainCatcher, ví phần cứng Coldcard thuộc Coinkite đã bị phát hiện có lỗ hổng entropy nghiêm trọng, lỗ hổng này đã không được phát hiện từ năm 2021, dẫn đến việc hơn 100 triệu đô la Bitcoin bị đánh cắp, nạn nhân chủ yếu là những người dùng ví với một cụm từ ghi nhớ duy nhất. Entropy yếu khiến kẻ tấn công có thể đoán khóa riêng thông qua các phương pháp tùy chỉnh, sự kiện này đã thúc đẩy cộng đồng Bitcoin xem xét lại độ tin cậy của việc tự quản lý với chữ ký đơn.Trong bối cảnh này, giải pháp đa nhà cung cấp đa chữ ký (Multi-vendor Multisig) đang trở thành tiêu chuẩn lưu ký mới được khuyến nghị cho những người nắm giữ lâu dài. Giải pháp này yêu cầu người dùng sử dụng các khóa từ các nhà cung cấp ví khác nhau để xây dựng địa chỉ đa chữ ký, chẳng hạn như Trezor Safe 7, Ledger Nano và Casa để tạo thành đa chữ ký 2-of-3, từ đó giảm sự phụ thuộc vào niềm tin vào một nhà cung cấp phần cứng duy nhất. Đa chữ ký cũng có thể chống lại các cuộc tấn công bằng cờ lê và đã thúc đẩy sự ra đời của các dịch vụ bảo hiểm Bitcoin tính bằng BTC như AnchorWatch.Tuy nhiên, đa chữ ký cũng có nhược điểm, người dùng không chỉ cần bảo quản các khóa ngưỡng mà còn cần lưu giữ bản sao của kịch bản hoặc mẫu đa chữ ký, để có thể khôi phục độc lập tài sản khi dịch vụ ví ngoại tuyến.

Tin tức từ ChainCatcher, Bitcoin News đã đăng trên nền tảng X cho biết, BTC Sessions cho biết, đội ngũ của họ đã dành vài tuần để hỗ trợ những người nắm giữ Bitcoin bị ảnh hưởng bởi lỗ hổng Coldcard chuyển tiền đến nơi an toàn, ước tính trong thời gian này đã bảo vệ được số Bitcoin trị giá hàng chục triệu đô la. Nhưng đối với nhiều người, đã quá muộn.Một thành viên trong cộng đồng Bitcoin địa phương đã mất 90% Bitcoin, trong khi một phụ nữ khác nói chuyện với anh ta thì đã mất toàn bộ Bitcoin. BTC Sessions cho biết, đây có thể là sự kiện tự quản lý nghiêm trọng nhất trong lịch sử Bitcoin. BTC Sessions cho biết, trải nghiệm này đã thúc đẩy họ suy nghĩ lại về việc quản lý tài sản, và đa dạng hóa các biện pháp an ninh trở thành bài học quan trọng.

ChainCatcher thông báo, theo Cointelegraph, Galaxy Research đã cập nhật dữ liệu theo dõi sự kiện tấn công ví phần cứng Coldcard, hiện đã xác nhận đã đánh cắp 1,789.28 BTC từ 8,865 địa chỉ (giá trị khoảng 114.7 triệu USD tại thời điểm xảy ra vụ việc). Giám đốc nghiên cứu Galaxy, Alex Thorn cho biết, trong số đó, 87.3% (khoảng 1,561 BTC) vẫn được giữ nguyên trong các địa chỉ do kẻ tấn công kiểm soát và chưa được di chuyển, tất cả số Bitcoin bị đánh cắp trong ba đợt tấn công đầu tiên đều chưa bị động.Trong các cuộc tấn công tiếp theo, một phần Bitcoin đã được chuyển qua các giao dịch CoinJoin và chia nhỏ số lượng. Thống kê dựa trên 221 báo cáo của nạn nhân, bao gồm 790.72 BTC thiệt hại, với thiệt hại trung vị là 1.04 BTC, hơn một nửa số báo cáo liên quan đến thiệt hại trên 1 BTC. Galaxy đã chia sẻ địa chỉ của kẻ tấn công với các sàn giao dịch, công ty tuân thủ và cơ quan thực thi pháp luật, hy vọng rằng khi dòng tiền chảy vào các trung gian tập trung sẽ bị đóng băng.

Theo thông tin từ ChainCatcher, theo dõi của Giám đốc Nghiên cứu Galaxy, sự cố lỗ hổng Coldcard liên quan đến 8865 địa chỉ, tổng thiệt hại là 1789.28 BTC, giá trị khi bị đánh cắp là 114.7 triệu USD, hiện tại giá trị là 138.8 triệu USD.Theo thống kê địa chỉ, thiệt hại trung vị của một địa chỉ là 0.00152 BTC, giá trị trung bình là 0.20184 BTC; thời gian ngủ đông trung vị là 3.2 năm, giá trị trung bình là 3.6 năm. Trong 221 báo cáo của nạn nhân, thiệt hại trung vị là 1.04272 BTC, giá trị trung bình là 3.57792 BTC; thời gian ngủ đông trung vị là 3.25 năm, giá trị trung bình là 2.99 năm. Thiệt hại mà các nạn nhân báo cáo là 790.72 BTC, chiếm 44.2% tổng thiệt hại. Nếu tính đến thiệt hại với độ tin cậy trung bình và các thiệt hại liên quan chưa được xác nhận, tổng thiệt hại sẽ đạt 1824 BTC, tính theo giá trị khi thiệt hại xảy ra là 140 triệu USD.

Tin tức từ ChainCatcher, Bitcoin News đã đăng trên nền tảng X cho biết, Coinkite đã phát hành bản cập nhật firmware mới cho Coldcard để khắc phục vấn đề an toàn của cụm từ ghi nhớ.Các cụm từ ghi nhớ trước đó có lỗ hổng vẫn không an toàn và nên được thay thế.