I furti su Coldcard salgono a 88 milioni di dollari mentre i depositi sulle piattaforme di scambio registrano un’impennata e i vecchi BTC vengono movimentati

Una terza ondata aggrava il danno

Galaxy Research ha rivelato su X che le tre presunte ondate hanno prosciugato circa 4.585 indirizzi e sottratto bitcoin per un valore di circa 88,6 milioni di dollari al momento dell’analisi. Il gruppo di ricerca ha precisato che i risultati sono preliminari e basati interamente sui dati della blockchain di Bitcoin disponibili pubblicamente. Un altro dashboard denominato Coldcard Sweep Watch stima il furto a 1.158,8480 BTC alle 17:00 EDT di sabato.

Secondo i ricercatori di Galaxy, la prima ondata è stata la più consistente, sottraendo 1.082,65 BTC da 1.195 indirizzi in 41 minuti il 30 luglio. Una seconda operazione ha sottratto 76,16 BTC da 1.478 indirizzi il giorno successivo. La terza ondata si è protratta dal 31 luglio al 1° agosto e ha sottratto circa 208 BTC da 1.912 indirizzi.

Quella terza operazione non sembrava una semplice continuazione delle prime due. Le ondate 1 e 2 convogliavano i fondi attraverso un numero limitato di indirizzi di raccolta e di deposito. L’ondata 3, invece, ha inviato i fondi delle vittime in 293 vault P2WSH separati, un tipo di indirizzo Bitcoin in grado di nascondere le proprie condizioni di spesa fino a quando le monete non vengono trasferite.

La presenza di vault separati rende più difficile per gli osservatori esterni raggruppare i fondi. Galaxy ha spiegato che questo cambiamento potrebbe indicare che l’autore dell’attacco originale abbia riorganizzato l’operazione dopo che le prime operazioni di prelievo sono diventate di dominio pubblico, oppure che un’altra parte abbia individuato lo stesso insieme di indirizzi vulnerabili. I soli dati della blockchain non consentono di determinare quale delle due spiegazioni sia corretta.

Galaxy ha collegato l’attività a una versione vulnerabile del firmware della Coinkite Coldcard distribuita il 17 marzo 2021. Nessuna delle monete interessate era stata creata prima di quella versione e l’indirizzo mediano delle vittime era rimasto inattivo per circa 3,5 anni, in linea con il comportamento previsto per un cold storage a lungo termine.

I depositi sugli exchange aggiungono un secondo segnale

Mentre i ricercatori mappavano i presunti furti, gli exchange centralizzati di criptovalute hanno registrato un forte aumento dei depositi in bitcoin il 31 luglio. I dati condivisi da Sani di Timechainindex.com hanno mostrato afflussi netti verso gli exchange pari a 11.163 BTC nel corso della giornata.

River ha ricevuto circa 3.679 BTC, seguito da Binance con 3.224 BTC, Kraken con 2.848 BTC e OKX con 1.291 BTC. Le piattaforme centralizzate hanno ricevuto complessivamente 15.205 BTC da indirizzi non identificati, aumentando in modo massiccio le loro disponibilità dichiarate in un solo giorno.

I grandi afflussi verso gli exchange spesso attirano l’attenzione perché le monete depositate sulle piattaforme di trading potrebbero essere destinate alla vendita, a fungere da garanzia o a trasferimenti interni di custodia. I dati non dimostrano che i depositi del 31 luglio provenissero da utenti di Coldcard, da aggressori o da chiunque abbia reagito direttamente all’incidente.

La tempistica rimane comunque piuttosto significativa. Un allarme di sicurezza può sicuramente spingere i possessori a riorganizzare la conservazione, a spostare le monete verso gli exchange o ad abbandonare configurazioni di portafoglio di cui non si fidano più. Può anche coincidere con trasferimenti istituzionali non correlati, depositi dei clienti e operazioni contabili degli exchange, rendendo il picco di afflusso significativo ma non conclusivo.

Molti Bitcoin inattivi iniziano a muoversi

Un terzo sviluppo è emerso quando una grande quantità di indirizzi creati tra il 2010 e il 2017 ha iniziato a movimentare monete dopo un periodo di inattività compreso tra i nove e i 16 anni, secondo le statistiche raccolte da Bitcoin.com News da btcparser.com. Le transazioni visibili dal 30 luglio al 1° agosto hanno totalizzato circa 306 BTC, inclusi trasferimenti ripetuti di 10 BTC e 30 BTC. Un indirizzo creato il 2 luglio 2010 ha trasferito una vecchia transazione coinbase di oltre 50 BTC. Altre transazioni includevano 37,8 BTC provenienti da un indirizzo del 2014 e una serie coordinata di trasferimenti da tre portafogli creati il 29 luglio 2017. Questi tre portafogli hanno trasferito 37,5 BTC e due importi separati di 30 BTC nello stesso blocco.

L’attività dei portafogli inattivi non può essere collegata alle operazioni di svuotamento di Coldcard sulla base dei dati disponibili. Infatti, Galaxy Research ha precisato che le monete delle presunte vittime sono state tutte create dopo il rilascio del firmware vulnerabile nel 2021, mentre molti dei portafogli inattivi recentemente attivati contenevano bitcoin già anni prima che Coldcard esistesse.

Tuttavia, proprio come l’attività sugli exchange segnalata da Sani, i detentori di bitcoin (BTC) inattivi da tempo potrebbero mettere in discussione le proprie configurazioni di sicurezza e trasferire i fondi verso alternative, compresi i servizi di custodia.

Per quanto ne sappiamo, Galaxy Research ha rivelato di stare monitorando sette indirizzi di detenzione delle prime due ondate e 293 vault della terza. La prima spesa da quei vault potrebbe far emergere i loro script e rivelare se le stesse chiavi di firma o la stessa struttura di spesa compaiono su più indirizzi.

Al momento della stesura di questo articolo, il sentiment online rimaneva fortemente ribassista, con il BTC scambiato al di sotto dei 63.000 dollari, precisamente a 62.326 dollari per moneta.