Identifikasi Penyerang Gelombang Pencurian Coldcard
Para penyelidik mungkin telah memberikan informasi kepada otoritas AS yang dapat mengidentifikasi penyerang yang bertanggung jawab atas gelombang pencurian Coldcard pertama, menurut laporan Bitcoin Magazine pada 18 Agustus. Alex Thorn dari Galaxy Research menyatakan bahwa identitas penyerang gelombang pertama “mungkin diketahui oleh penegak hukum.” Pernyataannya bersifat hati-hati, dan FBI belum secara publik mengonfirmasi identifikasi seorang tersangka, membuka kasus, melakukan penangkapan, atau memulihkan Bitcoin yang dicuri.
Gelombang pertama menghapus 1.082,65 BTC dari dompet yang dihasilkan menggunakan firmware Coldcard yang rentan. Dengan harga Bitcoin baru-baru ini mendekati $64.000, nilai koin tersebut diperkirakan sekitar $69 juta, bukan $11,8 juta. Pemimpin teknik Block, Clay Garrett, menyatakan bahwa penyelidik menemukan pola yang tidak biasa dalam penyapuan on-chain penyerang. Diduga, operator menggunakan akun berbayar di penyedia data blockchain yang tidak disebutkan namanya untuk menanyakan alamat sumber dan melakukan aktivitas terkait.
Memburu Hacker Coldcard
Pencuri Gelombang 1 Mungkin Dikenal oleh FBI melalui kontak dengan penyedia, yang log internalnya dilaporkan cocok dengan nomor, waktu, dan urutan permintaan yang dicurigai dengan “spesifikasi luar biasa.” Garrett menyebutkan bahwa Block telah menyampaikan informasi yang relevan kepada otoritas yang berwenang. Akun tersebut dapat berisi catatan pembayaran, akses, atau pelanggan. Namun, tidak ada bukti publik yang menetapkan catatan mana yang disimpan, siapa yang mengendalikan akun tersebut, atau apakah layanan tersebut menerima informasi identifikasi yang akurat.
Block juga menyatakan tidak menemukan bukti bahwa penyedia secara sadar membantu pencurian tersebut. Perusahaan tampaknya telah menyediakan layanan biasa tanpa mengetahui bagaimana informasi tersebut akan digunakan.
Laporan Bitcoin Magazine mengaitkan petunjuk investigasi dengan FBI, tetapi tidak ada pernyataan resmi dari FBI yang mengonfirmasi klaim tersebut. Tidak ada pengaduan kriminal, dakwaan, pengajuan penyitaan, atau tindakan penyitaan yang ditemukan dalam catatan publik.
Oleh karena itu, pernyataan Thorn sangat penting. Identitas yang “mungkin diketahui” tidak sama dengan tersangka yang terverifikasi atau terdakwa yang didakwa. Penyelidik masih harus menetapkan siapa yang mengoperasikan akun tersebut, siapa yang mengendalikan alamat penerima, dan apakah bukti mendukung tuduhan kriminal. Dana gelombang pertama masih terlihat di alamat terkait. Seperti yang dilaporkan crypto.news sebelumnya, saldo terbesar penyerang yang tidak bergerak belum masuk ke bursa atau mixer yang dikenal. Koin-koin tersebut tidak dibekukan. Transaksi Bitcoin tidak dapat dibalik atau diblokir di tingkat protokol. Pemulihan akan memerlukan kontrol atas kunci pribadi, pengembalian sukarela, atau transfer kemudian melalui perantara yang mampu mematuhi perintah penyitaan yang sah.
Kerugian dan Pola Pencurian
Halaman penelitian publik terbaru Galaxy mencantumkan kerugian setidaknya 1.700 BTC di berbagai gelombang. Total lainnya tetap lebih tinggi karena peneliti menggunakan kluster alamat yang berbeda, standar konfirmasi, dan laporan korban. Gelombang pencurian selanjutnya menunjukkan pola transaksi yang berbeda. Oleh karena itu, para peneliti telah memperingatkan bahwa lebih dari satu aktor mungkin telah mengeksploitasi ruang benih yang lemah setelah informasi tentang cacat tersebut menjadi publik.
Perbedaan ini berarti mengidentifikasi operator pertama tidak serta merta menyelesaikan setiap pencurian. Galaxy telah mendistribusikan alamat yang dicurigai kepada penyelidik, bursa, dan perusahaan analitik, tetapi tidak ada lembaga yang mengumumkan pemulihan.
Audit dan Keamanan Firmware
Dalam liputan terkait, tinjauan teknis sebelumnya oleh crypto.news menemukan bahwa insiden tersebut melibatkan generasi benih yang lemah daripada kompromi protokol Bitcoin atau akses fisik ke perangkat. Penasihat Coinkite menyatakan bahwa firmware Mk2 dan Mk3 yang terpengaruh menghasilkan benih dengan entropi yang tidak memadai mulai dari versi 4.0.1. Benih yang dibuat pada rilis Mk4, Mk5, dan Q tertentu juga terpapar, meskipun pengurangan entropi mereka kurang parah.
Firmware yang diperbaiki mencegah cacat yang sama saat menghasilkan benih baru. Menginstal pembaruan tidak memperbaiki benih rentan yang ada. Pengguna harus memperbarui terlebih dahulu, membuat benih baru yang sepenuhnya baru, dan memindahkan dana mereka setelah memverifikasi transaksi percobaan. Status terkini Coinkite menyatakan bahwa posmortem teknis formalnya masih dalam proses. Ia juga menyebutkan bahwa pemeriksaan independen yang ditargetkan telah dilakukan tetapi tidak menetapkan bahwa setiap biner firmware yang diperbaiki menerima audit lengkap.
Insiden tersebut telah memicu seruan untuk audit perangkat keras independen. Pertanyaan mendesak sekarang berkaitan dengan apakah otoritas dapat menghubungkan akun berbayar dengan seseorang, apakah dana gelombang pertama bergerak, dan apakah catatan pengadilan akhirnya mengonfirmasi penyelidikan.
