Galaxy identifică 15 atacatori în exploatarea Coldcard; pierderile se apropie de 130 mil. USD

Galaxy Digital afirmă că a identificat cel puțin 15 atacatori distincti care au profitat de o vulnerabilitate Coldcard, pe baza unor raportări noi venite de la victime după ce incidentul a devenit public. Potrivit lui Alex Thorn, aceste dezvăluiri individuale le-au permis analiștilor să "eticheteze" atacatori care altfel ar fi rămas invizibili, întrucât cazul nu seamănă cu o breșă într-o bursă centralizată, unde există un singur punct de intruziune ușor de urmărit. Noile raportări conturează o campanie fragmentată, nu o operațiune coordonată. Într-un exemplu, o victimă care a semnalat un furt sub 1 BTC a ajutat cercetătorii să descopere un atac mult mai amplu, în care au fost sustrase 12 BTC din 126 de adrese, sugerând că plângerile aparent minore pot scoate la iveală un tipar mult mai extins. Estimarea actuală indică pierderi confirmate de aproximativ 100 mil. USD, cumulate în trei valuri de atac. Galaxy menționează și un al patrulea val suspectat, care ar putea urca totalul la circa 130 mil. USD în Bitcoin. Creșterea continuă a estimării sugerează că amploarea exploatării este încă în curs de reconstrucție, nu complet clarificată. În astfel de cazuri, seed-urile compromise pot fi exploatate independent de actori diferiți, ceea ce complică atribuirea, numărarea victimelor și calculul pierderilor totale. Pe fondul multiplicării atacatorilor, revine și întrebarea cât de mult protejează autocustodia atunci când secretele generate de hardware devin previzibile. Discuția tehnică s-a mutat spre cât de ieftin ar putea inteligența artificială să redescopere defectul de firmware. Haseeb Qureshi, managing partner la Dragonfly, a susținut că aproximativ 2 USD investiți în "AI hardening" ar fi putut preveni incidentul, invocând teste în care modele ar fi reprodus vulnerabilitatea în câteva minute. Afirmația rămâne controversată. Un cercetător a avertizat că demonstrațiile au fost realizate după ce defectul devenise public, fără condiții "blind", fără metode documentate și fără analiză de rezultate fals pozitive. În același timp, se raportează că un model open-source ar fi identificat problema în 20 de minute, fără acces la web, ceea ce a amplificat dezbaterea privind cât de realistă ar fi detectarea timpurie, înainte de divulgare. Castle Labs a indicat că bug-ul ar fi redus entropia cheilor private Coldcard la aproximativ 40 de biți, mult sub nivelul de 128 de biți asociat standard cu un seed de 12 cuvinte. Această prăbușire a entropiei ar fi facilitat atacurile de tip brute-force și ar putea explica de ce au participat mai mulți atacatori. Incidentul scoate în evidență un eșec de testare: promisiunea de securitate a unui hardware wallet a ajuns să depindă de o entropie pe care firmware-ul a slăbit-o discret. Pe măsură ce AI reduce costurile de revizuire a codului atât pentru apărători, cât și pentru infractori, rămâne deschisă provocarea pentru producători: întărirea versiunilor înainte ca instrumentele automatizate să transforme greșeli obscure de implementare în oportunități scalabile de furt din adrese Bitcoin inactive.