Хакер из третьей волны эксплойтов Coldcard начал выводить средства. По данным Galaxy Research, 7 сентября стало известно, что злоумышленник перевел примерно 97,09 BTC, что эквивалентно $7,8 млн, используя кроссчейн-свопы и миксеры. Эта сумма составляет около 45% от средств, украденных в ходе третьей волны.
Процесс отмывания начался 2 сентября через THORChain, где активы были обменены на Ether. 5 и 6 сентября часть средств была пропущена через CoinJoin. Хакер работает с крупнейшими хранилищами в первую очередь, что указывает на спланированную стратегию вывода средств.
Причиной уязвимости стала ошибка в обновлении прошивки Coinkite от марта 2021 года (версия 4.0.1 и выше), затронувшая преимущественно модели Mk3 и более поздние. Из-за бага устройства использовали программный псевдослучайный генератор чисел вместо аппаратного, в результате чего сиды generating с энтропией всего 40–72 бита вместо стандартных 128–256 бит.
Компания Coinkite исправила прошивку, но все сиды, созданные в период уязвимости, скомпрометированы. Coinkite призвала пользователей создать новые сиды и перевести средства. Galaxy Research под руководством аналитика Алекса Торна отслеживает цепочку эксплойтов с 30 июля 2026 года.
Общие подтвержденные потери составляют примерно 1 789 BTC, что на момент кражи оценивалось в $114,7 млн. Пострадало более 8 865 адресов, при этом медианный убыток жертвы составил более 1 BTC. Еще один кластер из 58 адресов может увеличить общие потери до 1 806 BTC.
Атаки проводились волнами с 30 июля по 6 августа, в которых участвовали как минимум 15 разных хакеров. В первой волне за 41 минуту было украдено 1 082,65 BTC. На данный момент 82% украденных биткоинов остаются в кошельках злоумышленников, а отмыто было лишь 18%. Galaxy Research взаимодействовала с более чем 190 жертвами и передала данные об адресах хакеров правоохранительным органам.
