La 4e vague de Coldcard a atteint 462 adresses – encore 460 BTC en mouvement.

La quatrième vague de Coldcard continue d’engloutir les fonds.

L’exploit de Coldcard est toujours actif. La dernière vague a frappé…Adresses des victimes suspectées 462Sur 218 transactions en environ 2,5 heures, cela représente environ 389 BTC. Il pourrait y avoir encore plus de transactions en attente.

Pourquoi l’évolution la plus récente reste-t-elle importante

Cela maintient le risque au cœur de l’attention de ceux qui utilisent encore une graine Coldcard créée avant le patch. La première vague importante a déjà été épuisée.1,082,65 BTC, valant environ 70,2 millions de dollars.En 41 minutes, 1 196 adresses Bitcoin ont été touchées. Les mises à jour ultérieures indiquent des pertes d’environ 88,6 millions de dollars sur 4 585 adresses. La couverture plus large montre que le total est…Plus de 90 millions de bitcoins ont été volés..

La vulnérabilité reste active tant que les anciens mots de passe sont encore utilisés.

Le point crucial est simple :Le firmware corrigé protège les graines nouvellement générées.Mais cela ne permet pas de réparer les graines créées avec un firmware vulnérable. Même si certains adresses marquées comme suspectes ne sont pas en réalité des adresses volées, la conséquence pratique pour les détenteurs est la même : les fonds liés aux graines exposées restent en danger jusqu’à ce qu’ils soient transférés ailleurs.

Pourquoi la mauvaise aléa rend les utilisateurs de Coldcard vulnérables

Cette faiblesse rendait la génération des graines un problème hors ligne.

Ce n’était pas un dispositif défectueux ou inutilisable. C’était…Erreur d’intégration du firmware en mars 2021Cela fait en sorte que la génération des séquences de seed passe par un générateur aléatoire logiciel déterministe, plutôt que par le générateur aléatoire matériel STM32. Cela change complètement le modèle de menace : si la génération des séquences de seed peut être effectuée en dehors du réseau, l’attaquant n’a pas besoin d’accès en temps réel au portefeuille.

La divulgation n’a pas rendu les graines faibles sécurisées.

Selon Block, un attaquant qui peut contrôler l’UID du dispositif, l’état du chronomètre et l’historique des appels au générateur aléatoire peut reproduire les flux de sortie possibles hors ligne, déterminer les adresses associées, et les comparer aux données publiques du blockchain. C’est pourquoi la menace persiste depuis la révélation de ces informations.

Aucun rapport officiel n’a pu reconstituer l’adresse de la victime ou en déterminer l’adresse exacte. Mais l’absence de preuves ne signifie pas pour autant que les détenteurs sont en sécurité. Pour ceux qui possèdent encore une Coldcard vulnérable, la migration reste la seule solution fiable.

Le patch protège les nouvelles graines, pas les anciennes.

Le firmware d’urgence de Coinkite est important, mais il ne protège que ce qui va suivre. L’installation de ce firmware ne permet pas de réparer un jeton existant ; en revanche, restaurer le jeton original avec un firmware mis à jour – ou dans un autre portefeuille – entraîne la persistance des faiblesses du jeton original. La vulnérabilité est liée au firmware qui était en cours d’exécution lors de la création du jeton, et non à la version actuelle du firmware sur l’appareil.

Le comportement de la quatrième vague présente une cible plus large et des mouvements plus rapides.

L’attaquant utilise des destinations récentes plutôt qu’un portefeuille de collection unique.

Le dernier schéma indique que…216 destinations fraîcheslié aux adresses de 462 victimes, avecUn nouveau lieu de destination créé pour chaque victime.Plutôt que d’envoyer des fonds vers un seul adresse de collecte. Cela rend difficile la traçabilité de l’activité dans une seule catégorie, et indique donc que l’opération est réalisée sur de nombreux cibles différentes.

La vitesse de nettoyage est toujours inhabituellement élevée.

Galaxy a observé 13,8 balayages par bloc, soit environ 45 fois plus que la fréquence observée dans une fenêtre de contrôle avant l’incident. Indépendamment des petites différences de base entre les rapports, l’activité était toujours beaucoup plus rapide que la normale. Cela indique qu’un processus de balayage automatisé est en cours.

L’ensemble cible semble s’élargir.

Galaxy a dit que l’attaquant est…Ciblage des comptes plus petitsEt il y a aussi des changements concernant la manière dont les fonds sont collectés sur le chain. Certains fonds ont déjà été transférés vers des adresses de deuxième hébergement, ce qui pourrait indiquer une tentative de disperser les sommes obtenues plus rapidement.

Cela ne signifie pas que chaque adresse signalée soit confirmée comme ayant été volée. Thorn a décrit ce phénomène comme étant lié aux victimes de Coldcard. Néanmoins, ce comportement reste une exploitation active, et non un incident clos.

Que regarder ensuite

• Des transactions similaires restent en attente dans le mempool ; donc, des confirmations supplémentaires pourraient encore prolonger cette tendance.
• Le signal RBF opt-in a été envoyé ; cela signifie que certains utilisateurs éligibles pourraient encore pouvoir effectuer des transactions à frais plus élevés afin de se positionner en tête de la transaction.
• La création continue de nouveaux destinations, plutôt que leur consolidation en une seule entité, indique que l’entreprise fonctionne toujours, et non qu’elle est en train de s’effondrer.