Galaxy Research, Coldcard cihazlarında oluşturulan adresleri hedef aldığı düşünülen saldırılarda üçüncü bir dalga tespit edildiğini açıkladı. Son saldırı dalgasında 207,7294 BTC’nin boşaltıldığı belirtilirken, toplam kaybın 4.585 adres üzerinden 1.367,05 BTC’ye, yani yaklaşık 88,6 milyon dolara yükseldiği bildirildi.
Araştırma şirketine göre ilk iki saldırı dalgası, zincir üstünde büyük ölçüde benzer hareketler sergiledi. Her iki dalgada da fonların az sayıda ortak toplama adresine aktarıldığı, P2WPKH adreslerinin kullanıldığı ve farklı türetme yollarından gelen cüzdanların hedef alındığı görüldü. İki dalga arasında yaklaşık 27 saat bulunması ve işlem yapılarındaki benzerlikler, saldırıların aynı kişi veya grup tarafından gerçekleştirilmiş olabileceğine işaret etti.
Bununla birlikte Galaxy Research, ilk iki dalga arasında işlem ücretleri ve “replace-by-fee” sinyalleri bakımından farklılıklar bulunduğunu, bu nedenle aynı saldırgan bağlantısının kesin olarak kanıtlanamadığını vurguladı.
Üçüncü Dalga Farklı Bir Saldırgana İşaret Ediyor Olabilir
Galaxy Research’a göre üçüncü saldırı dalgası, önceki iki dalgadan ölçülebilen hemen her davranışsal özellik bakımından ayrılıyor. İlk saldırılarda kullanılan ortak toplama adresleri yerine, üçüncü dalgada her kurban için ayrı bir hedef adres oluşturulduğu tespit edildi.
Üçüncü dalgada çalınan Bitcoin ’lerin P2WPKH yerine P2WSH adreslerinde tutulduğu ve her boşaltma işleminde ortalama 6,37 kurban adresinin bir araya getirildiği belirtildi. İlk saldırı dalgasında ise her işlem yalnızca tek bir kurban adresini hedef alıyordu. Ayrıca üçüncü dalganın yalnızca varsayılan türetme yolundaki adresleri taradığı ifade edildi.
Araştırmacılar, bu değişikliklerin aynı saldırganın zincir üstü takibi zorlaştırmak amacıyla araçlarını yeniden geliştirmesinden kaynaklanabileceğini belirtti. Ancak Coldcard güvenlik açığına ilişkin bilgilerin kamuoyuna açıklanmasının ardından, aynı savunmasız anahtar havuzunu hedefleyen ikinci bir saldırganın ortaya çıkmış olmasının da mümkün olduğu kaydedildi.
Galaxy Research, zincir üstü verilerin bu iki senaryo arasında kesin bir ayrım yapılmasına izin vermediğini bildirdi. Şirket, her saldırı dalgasının kendi içinde tek bir operatör tarafından yönetildiğinden emin olduğunu ancak üç dalganın aynı saldırganla bağlantılı olduğunun kesin biçimde söylenemeyeceğini belirtti.
Saldırgan Adreslerindeki Bitcoin’ler Henüz Hareket Etmedi
Galaxy Research’ın hesaplamalarına göre saldırganların kontrolünde toplam 1.366,3865 BTC bulunuyor. Yaklaşık 88,6 milyon dolar değerindeki bu Bitcoin’lerin aktarıldığı nihai saldırgan adreslerinin tamamının zincir üzerinde henüz harcama yapmadığı belirtildi.
Blok bazında yapılan incelemede, saldırı dalgaları sırasında adreslerin toplu şekilde boşaltıldığı görüldü. Her dalga içerisindeki ara bloklarda saldırganlarla ilişkilendirilebilen herhangi bir boşaltma işlemi bulunmaması, işlemlerin sürekli olarak değil, gruplar halinde ağa gönderildiğine işaret etti.
Kayıpların adres sayısı bakımından çoğunlukla 1 BTC’nin altında bakiyeye sahip cüzdanlarda yoğunlaştığı, ancak toplam değer açısından daha büyük bakiyeli adreslerin belirleyici olduğu ifade edildi. Galaxy Research, bu dağılımın kurumsal saklama hizmetlerinden ziyade bireysel kullanıcıların kendi saklama cüzdanlarına benzediğini değerlendirdi.
Araştırmada ayrıca savunmasız Coldcard yazılımının 17 Mart 2021 tarihinde, Bitcoin ağının yaklaşık 674.951’inci bloğu sırasında yayımlandığı belirtildi. Galaxy Research, ilk üç saldırı dalgasında çalındığı tespit edilen Bitcoin’lerin hiçbirinin bu bloktan önce oluşturulmadığını açıkladı.
*Yatırım tavsiyesi değildir.
