Galaxy Researchは、Coldcardデバイスで作成されたアドレスを標的としたとみられる攻撃の第3波を検出したと発表した。最新の攻撃では207.7294BTCが引き出され、4,585のアドレスで合計1,367.05BTC（約8,860万ドル）の損失が発生したと報じられている。
調査会社によると、最初の2回の攻撃は、オンチェーン上でほぼ同様の挙動を示した。どちらの攻撃でも、資金は少数の共有コレクションアドレスに送金され、P2WPKHアドレスが使用され、異なる派生経路から発生したウォレットが標的となった。2回の攻撃の間隔が約27時間であること、およびトランザクション構造の類似性から、これらの攻撃は同一人物または同一グループによって実行された可能性が高い。
しかし、Galaxy Researchは、最初の2つの攻撃波の間には取引手数料や「手数料による置換」シグナルに関して違いがあったため、同一の攻撃者が関与したと断定することはできないと強調した。
第三波は、別の攻撃者を示唆している可能性がある。
Galaxy Researchによると、今回の第3波の攻撃は、測定可能な行動特性のほぼすべてにおいて、過去2回の攻撃とは異なっている。最初の攻撃では共有コレクションアドレスが使用されていたのに対し、第3波では被害者ごとに個別のターゲットアドレスが作成されていたことが判明した。
第3波の攻撃で盗まれたビットコインは、P2WPKHアドレスではなくP2WSHアドレスに保管されていたこと、また、各ダンプで平均6.37個の被害者アドレスが集約されていたことが指摘された。これに対し、第1波の攻撃では、トランザクションごとに1つの被害者アドレスのみが標的とされていた。さらに、第3波では、デフォルトの派生パスに沿ったアドレスのみがスキャンされたと述べられている。
研究者らは、これらの変化は、同じ攻撃者がオンチェーンでの追跡をより困難にするためにツールを改良したことに起因する可能性があると指摘した。しかし、Coldcardの脆弱性に関する情報が公開された後、同じ脆弱なキープールを標的とする別の攻撃者が出現した可能性も指摘された。
Galaxy Researchは、オンチェーンデータではこれら2つのシナリオを明確に区別することはできなかったと報告した。同社は、各攻撃波が単一のオペレーターによって管理されていたことは確かだが、3つの攻撃波すべてが同一の攻撃者に関連していると断定することはできないと述べた。
攻撃者のアドレスにあるビットコインはまだ移動されていません。
Galaxy Researchの計算によると、攻撃者は合計1,366.3865 BTCを保有している。約8,860万ドル相当のこれらのビットコインが送金された最終的な攻撃者アドレスのうち、すべてがブロックチェーン上で実際に使用したわけではないとされている。
ブロックごとの分析により、攻撃の波の中でアドレスが大量にダンプされたことが明らかになった。各波の中間ブロックにおいて、攻撃者によるものと考えられるダンプ操作が一切見られなかったことから、これらの操作は連続的ではなく、グループ単位でネットワークに送信されたことが示唆された。
損失はアドレス数で見ると残高が1BTC未満のウォレットに集中していたが、総額で見ると残高の多いアドレスが決定的な役割を果たしていたことが指摘された。Galaxy Researchは、この分布は機関投資家向けの保管サービスというよりも、個人ユーザー自身の保管ウォレットに類似していると評価した。
また、この調査によると、脆弱性のあるColdcardソフトウェアは、ビットコインネットワークのブロック674,951付近にあたる2021年3月17日にリリースされたことが示唆されている。Galaxy Researchは、最初の3回の攻撃で盗まれたと特定されたビットコインは、いずれもこのブロック以前に作成されたものではないと述べている。
※これは投資アドバイスではありません。
