O impacto financeiro da vulnerabilidade da carteira de hardware Coldcard continua crescendo, com a Galaxy Research agora estimando que atacantes roubaram 1.596 bitcoins (BTC), no valor de mais de 100 milhões de dólares, por meio de uma série de furtos coordenados. Pesquisadores dizem que a campanha ainda está ativa e alertam que as perdas totais podem aumentar ainda mais se uma suspeita quarta onda de ataques for confirmada.
Segundo a Galaxy Research, o número confirmado é baseado em análises de blockchain e relatórios de usuários afetados. Os investigadores dizem ter identificado três grandes ondas de ataques e 14 incidentes menores envolvendo aproximadamente 7.300 endereços de carteira. A empresa descreve essas conclusões como tendo “alta confiança”, mas observa que a investigação continua em andamento e que mais vítimas ainda podem se manifestar.
Pesquisadores também estão monitorando um grupo separado de transações suspeitas que acreditam representar um quarto ataque organizado. Essa atividade ainda não foi confirmada por relatos de vítimas, então a Galaxy a excluiu deliberadamente de sua estimativa oficial de perdas. Se a atividade adicional fizer parte da mesma campanha, o valor total roubado pode aumentar para cerca de 2.055 BTC, avaliado em cerca de $130 milhões com base nos preços atuais de mercado.
Diferente dos ataques anteriores, a suspeita quarta onda foi detectada enquanto ainda estava se desenrolando. Alex Thorn, chefe de pesquisa da Galaxy, disse que analistas observaram centenas de transferências de bitcoin ocorrendo em um curto período, um padrão que diferiu significativamente da atividade normal da rede. Como muitas das transações permaneceram sem confirmação por um período, algumas vítimas podem ter tido uma breve oportunidade de recuperar seus fundos usando o recurso de Substituição por Taxa (RBF) do Bitcoin para submeter transações concorrentes com taxas mais altas antes que as transferências dos atacantes fossem finalizadas.
A Galaxy acredita que a campanha também pode estar se expandindo além de um único ator de ameaça. Embora cada um dos roubos iniciais em grande escala pareça ter sido realizado por um único operador, os incidentes menores sugerem que múltiplos atacantes podem agora estar explorando a mesma fraqueza publicamente conhecida. A empresa afirmou que 73 vítimas já ajudaram na investigação fornecendo informações que ajudaram a rastrear fundos roubados.
Uma constatação animadora é que a maior parte da criptomoeda roubada ainda não foi movimentada. A Galaxy estima que cerca de 90% do bitcoin capturado permanece em endereços controlados pelo atacante, com todas as moedas roubadas durante as três primeiras ondas confirmadas ainda guardadas em carteiras visíveis na blockchain. Como os fundos ainda são rastreáveis, a empresa afirmou ter compartilhado centenas de endereços de carteiras suspeitos de atacantes com agências de segurança dos EUA, exchanges de criptomoedas e empresas de investigação de blockchain.
O incidente também reacendeu as discussões sobre inteligência artificial e segurança de software. A Coinkite, fabricante do Coldcard, sugeriu que atacantes podem ter usado IA para identificar a falha de firmware em seu código open-source, embora a empresa tenha enfatizado que isso é uma suposição, e não um fato confirmado. A Galaxy também afirmou que a natureza automatizada dos roubos sugere que grandes modelos de linguagem podem ter ajudado os atacantes, mas também descreveu essa avaliação como uma opinião informada, e não como evidência verificada.
Tanto a Galaxy Research quanto a Coinkite continuam incentivando usuários com carteiras Coldcard potencialmente afetadas a migrar seu bitcoin imediatamente. Pesquisadores enfatizam que instalar firmware atualizado sozinho não protege carteiras criadas usando sementes de recuperação vulneráveis. Em vez disso, os usuários devem gerar uma nova frase-semente em firmware corrigido e transferir seus fundos para a carteira recém-criada o mais rápido possível.