Alex Thorn aponta varreduras de BTC ligadas ao Coldcard
Thorn disse que algumas transações de atacantes suspeitos ainda estão não confirmadas, deixando uma janela estreita de aumento de taxa para os usuários afetados.
O chefe de pesquisa da Galaxy, Alex Thorn, sinalizou um novo grupo de supostas roubos de Bitcoin relacionados ao Coldcard que moveram cerca de 388,9 BTC em 218 transações de 462 endereços de vítimas potenciais. Thorn disse que alguns gastos relacionados ainda estão sem confirmação no mempool, criando uma oportunidade sensível ao tempo para certos usuários substituírem a transação do atacante com um conflito de taxa mais alta.
Um Novo Grupo de Prováveis Limpezas do Coldcard Ataca 462 Endereços
Alex Thorn, chefe de pesquisa da Galaxy, sinalizou o que descreveu como outra onda de atividade coordenada de drenagem ligada a usuários do Coldcard, apontando para 218 transações que moveram cerca de 388,9BTCde 462 endereços de vítimas potenciais nas últimas horas.
Thorn enquadrou a atribuição como probabilística em vez de identificação confirmada, escrevendo: “Essas são VÍTIMAS PROVÁVEIS do Coldcard — elas correspondem ao formato de utxos vulneráveis ao coldcard e o padrão elevado de transações me dá alta confiança de que são outra onda de ataques.” A referência ao “formato” é aos UTXOs, ou saídas de transação não gastas, os pedaços discretos de BTC que compõem o saldo disponível de uma carteira.
O ritmo on-chain é o indicativo. Thorn disse que a atividade teve uma média de 13,8 limpezas por bloco, cerca de 45 vezes a taxa observada em uma janela de controle pré-incidente, o que faz o fluxo parecer menos uma consolidação rotineira e mais uma campanha de drenagem coordenada.
O comportamento de destino também é importante para rastreamento. Thorn disse que a maioria das transferências criou um novoendereçopor vítima, em vez de convergir para uma única carteira de coleta óbvia, e que alguns fundos já haviam sido empurrados para endereços de segundo salto, um fluxo de trabalho comum quando um atacante quer reduzir o agrupamento e acelerar a dispersão.
Por que esta onda é importante para os traders que observam o fluxo de moedas roubadas
‘Escape Hatch’ do Mempool: Quando um conflito de taxa mais alta ainda pode salvar fundos
O detalhe sensível ao tempo é que alguns gastos de atacantes suspeitos ainda não são finais. Thorn disse que há transações semelhantes aguardando no mempool, o pool de transações de Bitcoin não confirmadas que esperam ser incluídas em um bloco.
Isso cria uma estreita "escape hatch" para um subconjunto de usuários afetados. Thorn disse que usuários que ainda controlam as chaves relevantes podem ser capazes de transmitir uma transação conflitante com uma taxa mais alta, enviando fundos para uma carteira segura antes que a transação do atacante seja confirmada.
Mecanicamente, isso é um gasto de substituição que paga mais aos mineradores para confirmá-lo primeiro, invalidando a versão com taxa mais baixa.
O que observar a seguir é principalmente bloco a bloco e operacional:
1.Confirmação vs substituição:Se os supostos saques pendentes no mempool se confirmam nos próximos blocos ou são substituídos por transações conflitantes de taxa mais alta das vítimas. 2.Intensidade do saque:Se o ritmo permanece próximo aos 13,8 saques por bloco citados por Thorn, ou recua em direção à linha de base pré-incidente que ele mencionou.
3.Churn de segundo salto:Se os novos endereços de destino por vítima continuam a enviar fundos para endereços de segundo salto, o que implicaria uma rápida dispersão antes de qualquer troca ou off-ramping OTC. 4.Clusters subsequentes:Se ondas adicionais são sinalizadas nos dias após este cluster, dado o enquadramento de Thorn de que o padrão se assemelha a atividades de ataque anteriores.
O contexto mais amplo do incidente permanece o mesmo. Thorn vinculou a atividade a uma falha de firmware do Coldcard previamente divulgada que fez com que os dispositivos afetados gerassem sementes de carteira com menos entropia do que o pretendido, e as últimas estimativas citadas na mesma conta colocam o impacto em milhares de carteiras e mais de $90 milhões em Bitcoin roubados, embora a metodologia para essas estimativas não tenha sido detalhada nas informações fornecidas.
O que a nova onda de roubo do Coldcard que varre 389 me diz
O detalhe equivalente ao registro aqui é o status do mempool, não o número principal de BTC. Se as transações do atacante ainda estão não confirmadas, o limite que importa é se as vítimas podem realmente obter um conflito de taxa mais alta minerado primeiro, porque essa é a diferença entre uma mitigação pós-morte e uma janela de mitigação ao vivo.
O número de 13,8 varreduras por bloco também está fazendo um trabalho real. Se esse ritmo persistir e o movimento de segundo salto continuar, a configuração começa a parecer estrutural em vez de impulsionada por narrativas, com um fluxo de trabalho do atacante otimizado para dispersão e agrupamento em tempo real mais difícil.
Isso importa em termos práticos se as varreduras não confirmadas ou se confirmam em escala ou são substituídas em escala, porque esse resultado determina se esta onda se torna um risco de pressão de venda realizada ou um incidente contido.
