La hausse de cours de Coldcard à 88,6 millions de dollars pourrait ne pas se terminer : Galaxy prévient d’une quatrième vague d’attaques

Les pertes liées à Coldcard se sont déjà étendues au-delà de l’incident du 30 juillet.

Galaxy a lié les pertes de Coldcard aux…1,367,05 BTC réparti sur 4,585 adressesy compris un éventail de 1,082.65 BTC41 minutesLe 30 juillet. Cela suffit à remettre en question la confiance dans les produits de garde d’enfants. Le point plus important est que…Une troisième vague de nettoyagesIl semblait que l’opérateur continuait à chercher le coup de feu le plus évident, laissant ainsi une marge d’au moins une quatrième vague.

Pourquoi l’attaque peut-elle encore se propager

En termes simples, cette faute a rendu la génération des séquences de données beaucoup moins aléatoire que ne le devrait être. Un bug dans le firmware fait que la génération des séquences de données se fait via un générateur aléatoire logiciel déterministe, plutôt que via le générateur aléatoire matériel. Il n’y a donc pas d’entropie fraîche après l’initialisation. Cela permet aux attaquants de tester les séquences de données en mode hors ligne. De plus, cela signifie que l’installation d’un firmware corrigé ne permet pas de réparer une séquence de données qui a déjà été générée sous le firmware faulty.

Ce qui maintient l’histoire vivante

Les pièces volées sont pour l’essentiel restées là où elles se trouvaient. Donc, il s’agit plus d’une surprise liée à la confiance des investisseurs, qu’d’un afflux massif de liquidités. Mais le risque plus concret est que l’attaquant ait élargi son champ d’action et modifié les comportements des investisseurs. Si une quatrième vague arrive, davantage de portefeuilles pourraient être vidés avant que les investisseurs ne prennent pleinement conscience de la situation.

Les traces de Galaxy montrent des changements de tactiques, et non simplement une augmentation du total.

La troisième vague est importante, car elle indique l’évolution des tactiques utilisées. Galaxy a signalé cela.Troisième vague de nettoyages, et son enquête sur les fonds a également montréDeux passages distinctsCela a permis d’élargir le groupe de victimes après l’attaque initiale du 30 juillet. Cela ne garantit pas une nouvelle attaque massive, mais cela indique que l’opérateur continue de trouver des moyens pour déterminer combien de portefeuilles il peut voler.

La deuxième passe était plus large, mais pas moins calme.

La première vague a éliminé 1 196 adresses en 41 minutes. La deuxième vague a détruit encore 76,16 BTC sur 1 478 adresses en l’espace de 3 heures et 42 minutes. Cet étendue plus grande est importante, car l’attaque ne se limitait plus aux comptes les plus importants. Elle s’est répandue sur davantage d’adresses, y compris des adresses plus petites.

Les schémas de frais indiquent qu’il s’agit d’un opérateur méthodique.

L’analyse des galaxies a également révélé des variations dans les frais de transaction au cours des différentes périodes. Ces variations ressemblent davantage à des modifications visant à accélérer le processus de confirmation et à réduire les dépenses inutiles, plutôt qu’à des mouvements aléatoires dus à la panique. C’est encore une raison de considérer l’opérateur comme encore actif et en train d’optimiser son comportement de collecte.

L’exposition sur le marché est principalement liée à des questions de fonds en dépôt automatique.

Galaxy a noté que le profil des pertes est dominé par des adresses de moins de 1 BTC en nombre, tandis que la valeur des pertes est encore influencée par les portefeuilles plus grands. Cela correspond aux observations précédentes.Défense individuelle du bien, et non détenue par des institutions ou des entités commerciales.Donc, le principal canal de transmission est probablement la méfiance envers les récits liés aux portefeuilles hardware et à la garde de ses propres clés, plutôt qu’une impact immédiate sur les soldes des échanges.

Cependant, la condition limite clé reste la même :Aucun rapport public n’a pu reconstituer l’adresse du victime et la correspondre à une adresse vérifiée.Jusqu’à ce que cela se produise, certains investisseurs pourraient réagir de manière excessive à chaque nouvelle série de recherches, plutôt que de les considérer comme des preuves circonstancielles.

Le signal pratique : les graines de Coldcard anciennes restent exposées jusqu’à ce que leurs propriétaires déménagent.

Le signal le plus clair est maintenant celui lié aux comportements, et non aux théories : les pièces liées à des séquences de code Coldcard faibles restent risquées tant que leurs propriétaires ne prouvent pas le contraire en les déplaçant.

Là où la pression se fait sentir en premier.

Le premier impact concerne la confiance dans les appareils vendus comme des coffres de stockage sécurisés.Dépendance individuelle à l’égard de soi-même, et non des détenues institutionnelles ou des titres échangés.Ainsi, l’impact immédiat est lié à la réputation. La question suivante est de savoir si les nouveaux flux de ventes créent une pression réelle sur les acheteurs, ou si cela ne fait que faire entrer les devises inutilisées dans des portefeuilles plus sûrs.

Le firmware d’urgence aide les nouvelles installations, pas les anciennes versions.

Coinkite expédiéFirmware d’urgenceMais cela ne permet pas de réparer une semence qui est déjà exposée. Les propriétaires des portefeuilles affectés doivent générer une nouvelle semence avec le firmware corrigé, afin de pouvoir transférer leurs fonds. Jusqu’à ce qu’ils fassent cela, ces soldes restent exposés.L’attaquant continue de cibler des montants plus petits.Et ajuster le comportement de collecte.

Que regarder ensuite

Signaux boursiers bearishDe nouvelles sorties d’argent provenant de comptes de victimes qui n’avaient pas été touchés auparavant, et non seulement des mouvements de fonds déjà identifiés. Les fonds volés commencent à se déplacer vers les places de change ou les intermédiaires financiers. Le modèle de collecte des fonds par l’attaquant s’élargit également.

Signaux encourageantsLes propriétaires concernés appliquent des correctifs, génèrent de nouveaux jetons et transfèrent les fonds en silence. Les fonds volés restent largement inutilisés, ce qui fait que le problème se concentre davantage sur la méfiance plutôt que sur des ventes réelles.

Défaut critiqueSi l’analyse publique parvient finalement à reconstituer la adresse du victime et à la confronter avec l’adresse déconnectée, la menace cesse d’être spéculative et devient un problème à résoudre.