بر اساس گزارش CryptoQuant، در 31 ژوئیه، دارندگان خُرد بیت‌کوین با نرخی بی‌سابقه از زمان سقوط FTX، سکه‌های خود را جابجا کردند؛ این اتفاق همزمان با انتشار خبری مبنی بر اینکه کیف پول‌های سخت‌افزاری Coldcard به مدت پنج سال کلیدهای قابل حدس تولید می‌کردند، رخ داد.

جولیو مورنو، رئیس تحقیقات این شرکت، توییت کرد که در آن روز، مجموع نقل و انتقالات کمتر از 1 بیت‌کوین به 39,600 بیت‌کوین (حدود 2.5 میلیارد دلار) رسید. آخرین رقم قابل مقایسه، 39,900 بیت‌کوین در 16 نوامبر 2022، چند روز پس از سقوط FTX بود. آدرس‌های فعال روزانه از 645,000 در 30 ژوئیه به نزدیک به یک میلیون در 31 ژوئیه افزایش یافت که بالاترین رقم از دسامبر 2024 است؛ این افزایش عمدتاً در آدرس‌های فرستنده متمرکز بود تا آدرس‌های گیرنده.

بخشی از این وجوه به صرافی‌ها رفت. طبق گزارش CryptoQuant، سپرده‌های شامل نقل و انتقالات کمتر از 10 بیت‌کوین در 31 ژوئیه به 7,300 بیت‌کوین (459 میلیون دلار) رسید که بالاترین میزان از 6 فوریه است. مورنو این جابجایی را به نقض امنیتی Coldcard مرتبط دانست و گفت که به نظر می‌رسد مردم در جستجوی "امنیت" در حال انتقال دارایی‌های خود هستند، اگرچه او اشاره کرد که این ارتباط قطعی نیست.

قابل ذکر است که قیمت بیت‌کوین در میان موج سپرده‌گذاری در صرافی‌ها به سختی تغییر کرد، که نشان می‌دهد کاربران به جای فروش، در حال انتقال سکه‌های خود برای ایمن‌سازی آنها بودند. بر اساس داده‌های CoinGecko، بیت‌کوین در حال حاضر با قیمت 62,724 دلار معامله می‌شود که طی روز گذشته 0.7% کاهش یافته است.

اکسپلویت Coldcard

نقص Coldcard به خطای ساخت فریم‌ور در مارس 2021 برمی‌گردد که باعث شد عبارات بازیابی (seed phrases) از یک مجموعه بسیار کوچک‌تر ایجاد شوند. Galaxy Research تا شنبه سه موج سرقت را ثبت کرده است که مجموعاً 1,367 بیت‌کوین را در 4,585 آدرس شامل می‌شود، این میزان از 38 میلیون دلار هنگام افشای نقص و 70 میلیون دلار هنگام هشدار چانگ پنگ ژائو، بنیانگذار بایننس، افزایش یافته است.

موج چهارمی به احتمال زیاد در حال وقوع است. الکس تورن از Galaxy Research روز دوشنبه به جابجایی‌ها در 15 بلوک متوالی اشاره کرد که تقریباً 45 برابر نرخ عادی بود و پس از تصحیح مجموعه‌ای که به اشتباه شامل آدرس‌های چندامضایی (multisig) شده بود، این موج را شامل 709 آدرس و 448.73 بیت‌کوین (28 میلیون دلار) دانست. این امر مجموع خسارات را به حدود 1,816 بیت‌کوین، نزدیک به 114 میلیون دلار، می‌رساند. تورن هشدار داد که هنوز هیچ قربانی موج چهارم را تأیید نکرده است، و این بر اساس تطابق الگوهاست.

او گفت برخی از جابجایی‌ها همچنان در ممپول (mempool) تأیید نشده باقی مانده و گزینه جایگزینی با کارمزد (replace-by-fee) را انتخاب کرده بودند، به این معنی که دارندگانی که سریع عمل کنند و کارمزد بالایی بپردازند ممکن است بتوانند از مهاجم پیشی بگیرند. هیچ یک از آدرس‌های مورد حمله در سه موج اول چندامضایی (multisig) نبودند.

'زنگ بیدارباش'

نیک پرکوکو، مدیر ارشد امنیتی کراکن، این حادثه را "زنگ بیدارباشی برای کل صنعت کیف پول سخت‌افزاری" خواند. او اشاره کرد که مدل‌های Mk4، Mk5 و Q ColdCard با عناصر امن گواهی‌شده عرضه می‌شوند، اما عبارات بازیابی (seeds) آنها همچنان حدود 72 بیت تولید می‌شدند، زیرا گواهی‌نامه فقط قطعه را پوشش می‌داد و هیچ‌کس مسیر اجرای واقعی کد را تأیید نکرده بود.

پرکوکو خواستار اعتبارسنجی مستقل آزمایشگاهی برای منابع آنتروپی (entropy sources) است که به نسخه‌های فریم‌ور خاصی محدود شده و در یک رجیستری عمومی فهرست شوند، همانطور که پایانه‌های پرداخت در حال حاضر نیاز دارند. او افزود که هات‌فیکس Coinkite اکنون ساخت (build) را با شکست مواجه می‌کند، مگر اینکه ژنراتور صحیح لینک شده باشد؛ کنترلی که به گفته او، پس از اطلاع شرکت از مشکل، حدود 48 ساعت طول کشید تا نوشته شود.