Sumnjivi treći talas pražnjenja bitcoin novčanika povezanih sa Coldcard uređajima podigao je procijenjenu štetu na oko 1.367 BTC, dok su depoziti na berze i aktivnost dugo uspavanih novčanika dodali dva nova signala koje analitičari prate. Galaxy Research je na mreži X objavila da su tri sumnjiva talasa ispraznila oko 4.585 adresa i zahvatila bitcoin vrijedan približno 88,6 miliona dolara u trenutku analize, uz napomenu da su nalazi preliminarni i zasnovani isključivo na javno dostupnim podacima sa Bitcoin blockchaina. Poseban dashboard pod nazivom Coldcard Sweep Watch procjenjuje krađu na 1.158,8480 BTC u subotu u 17 časova po istočnoameričkom vremenu.
Prema istraživačima Galaxyja, prvi talas bio je najveći: 30. jula je za 41 minut povučeno 1.082,65 BTC sa 1.195 adresa. Druga operacija je sljedećeg dana prikupila 76,16 BTC sa 1.478 adresa. Treći talas se protegao od 31. jula do 1. avgusta i ispraznio oko 208 BTC sa 1.912 adresa. Treća operacija nije izgledala kao prost nastavak prve dvije: dok su talasi 1 i 2 slivali sredstva kroz mali broj sabirnih adresa, talas 3 je sredstva žrtava slao u 293 odvojena P2WSH vaulta, tip bitcoin adrese koja može sakriti uslove trošenja dok se novčići ne pomjere. Galaxy objašnjava da promjena može značiti da je prvobitni napadač reorganizovao operaciju nakon što su pražnjenja postala javna, ili da je druga strana pronašla isti ranjivi skup adresa, s tim da sami blockchain zapisi ne mogu utvrditi koje je objašnjenje tačno.
Galaxy je aktivnost povezala sa ranjivim izdanjem Coinkite Coldcard firmwarea objavljenim 17. marta 2021. godine. Nijedan od pogođenih novčića nije nastao prije tog izdanja, a medijalna adresa žrtve bila je neaktivna oko 3,5 godine, što odgovara ponašanju dugoročnog hladnog skladištenja.
Dok su istraživači mapirali sumnjive krađe, centralizovane kripto berze su 31. jula zabilježile nagli rast depozita bitcoina. Podaci koje je podijelio Sani sa Timechainindex.com pokazali su neto priljev od 11.163 BTC tokom dana: River je primio procijenjenih 3.679 BTC, slijede Binance sa 3.224 BTC, Kraken sa 2.848 BTC i OKX sa 1.291 BTC. Centralizovani entiteti su ukupno primili 15.205 BTC sa neidentifikovanih adresa. Podaci ne dokazuju da su depoziti od 31. jula stigli od Coldcard korisnika, napadača ili bilo koga ko direktno reaguje na incident, ali je vremensko poklapanje upadljivo: bezbjednosna uzbuna može navesti vlasnike da reorganizuju skladištenje ili presele novčiće na berze, mada se priljev može poklopiti i sa nepovezanim institucionalnim transferima.
Treći signal se pojavio kada je veliki broj adresa kreiranih između 2010. i 2017. godine počeo da pomjera novčiće poslije devet do 16 godina neaktivnosti, prema statistici koju je Bitcoin.com News prikupio sa btcparser.com. Vidljive transakcije od 30. jula do 1. avgusta iznosile su oko 306 BTC. Jedna adresa kreirana 2. jula 2010. pomjerila je staru coinbase transakciju od preko 50 BTC, zabilježen je i transfer od 37,8 BTC sa adrese iz 2014, a tri novčanika kreirana 29. jula 2017. pomjerila su 37,5 BTC i dva odvojena iznosa od po 30 BTC u istom bloku. Ova aktivnost se na osnovu dostupnih podataka ne može vezati za Coldcard pražnjenja: Galaxy navodi da su novčići žrtava svi nastali poslije ranjivog firmwarea iz 2021, dok su mnogi probuđeni novčanici držali bitcoin godinama prije nego što je Coldcard postojao.
Galaxy Research je saopštila da prati sedam holding adresa iz prva dva talasa i 293 vaulta iz trećeg. Prva potrošnja iz tih vaultova mogla bi otkriti njihove skripte i pokazati da li se isti ključevi za potpisivanje ili ista struktura trošenja pojavljuju na više adresa. U vrijeme pisanja, sentiment na mreži ostao je duboko bearish, a BTC se trgovao ispod 63.000 dolara, tačnije na 62.326 dolara po novčiću.
Izvor: Bitcoin.com