Hace solo unas horas, el hacker responsable de la mayor parte de los fondos robados (2,055 $BTC valorados en aproximadamente 130 millones de dólares) reanudó su actividad y transfirió 30.185 $BTC, valorados en unos 1,94 millones de dólares, a una cartera recién creada. Otros investigadores de la cadena de bloques confirmaron esta transferencia minutos después, calificándola como la primera actividad del hacker desde el robo inicial.
Esta transferencia es pequeña en comparación con el total de activos del hacker, representando aproximadamente el 1,5% de los fondos robados, pero es significativa porque rompe un período de inactividad durante el cual investigadores y la comunidad de Bitcoin en general observaron el monto robado intacto.
Bitcoin.com News informó anteriormente que el monto del robo, que afectó a dispositivos Coldcard Mk3 con firmware vulnerable, superó los 116 millones de dólares en más de 1,800 $BTC extraídos de más de 5,200 direcciones, ya que se descubrieron oleadas adicionales de retiros en las semanas posteriores a la divulgación inicial.
Qué podría significar esta transferencia
Los analistas de Onchain suelen considerar el primer movimiento de fondos robados por un hacker 'inactivo' como una señal temprana de un intento de liquidación, ya que los atacantes generalmente necesitan mover las monedas a través de una serie de carteras, mezcladores o puentes entre cadenas antes de intentar convertirlas en otros activos o moneda fiduciaria sin llamar la atención de inmediato.
La situación del hacker de Coldcard se complica por el nivel de escrutinio sobre los fondos robados, dado que anteriormente recibió una descarada oferta de otra parte ofreciendo ayudar a lavar los fondos directamente en cadena, una propuesta pública inusual considerando cuánto escrutinio han recibido las carteras en cuestión por parte de la amplia comunidad de seguridad.
Además, el investigador de cadena de bloques ZachXBT declaró que no planea rastrear personalmente los fondos robados, dejando esa tarea a otros investigadores y varias cuentas de análisis de cadena de bloques que han estado monitoreando estas carteras de cerca desde que se conoció por primera vez la vulnerabilidad.
Recordatorio del alcance de la vulnerabilidad
La vulnerabilidad subyacente está relacionada con un fallo en el firmware de los dispositivos Coldcard, fabricados por la empresa Coinkite con sede en Toronto, que hacía que algunos dispositivos generaran semillas con una aleatoriedad criptográfica que era solo una fracción de la supuesta. Como resultado, los tenedores a largo plazo que crearon carteras en versiones vulnerables del firmware quedaron expuestos a ataques de fuerza bruta capaces de recuperar sus claves privadas.
Bitcoin.com News informó que solo los usuarios canadienses representaron aproximadamente una cuarta parte de todas las pérdidas relacionadas con esta vulnerabilidad; este detalle concuerda con el hecho de que la propia empresa Coinkite tiene su sede en Toronto y sugiere que los dispositivos afectados podrían haber estado más extendidos en ese mercado.
La reanudación de la actividad por parte de uno de los mayores beneficiarios de esta vulnerabilidad probablemente atraiga nuevamente la atención sobre esta historia, que había comenzado a desvanecerse a medida que se ralentizaban los nuevos robos. Para las víctimas que todavía esperan alguna posibilidad de recuperación, el movimiento de fondos por parte del hacker demuestra que las monedas aún existen y siguen siendo rastreables en el libro mayor público, pero también aumenta la probabilidad de que al menos parte de los bitcoins robados pronto sean mucho más difíciles de rastrear.
En los próximos días, es probable que los expertos vigilen de cerca la cartera receptora en busca de más movimientos, ya que las transferencias posteriores suelen mostrar si el hacker está probando una ruta de lavado, consolidando fondos para una operación mayor o reaccionando a alguna presión externa.
