Skanowanie (sweep) portfela Coldcard zbliża się do 114 mln USD, gdy RBF umożliwia przebijanie ofert w mempoolu

Trwa czwarty „sweep” (przejmowanie środków) z portfela Coldcard. Badacze szacują, że atakujący przeniósł od 30 lipca około 1 816 BTC (≈114 mln USD) z 5 200+ adresów, a aktywność wciąż trwa. Kluczowa zmiana polega na tym, że atakujący wygląda na to, iż używa mechanizmu Replace-by-Fee (RBF) w Bitcoinie. Ponieważ RBF może utrzymywać transakcje dłużej w mempoolu, ofiary mogą mieć możliwość przelicytowania i przeniesienia środków jako pierwsze poprzez podniesienie opłat—co tworzy krótkoterminową dynamikę „wyścigu” w kolejności transakcji. Wcześniejsze fale są także potwierdzone w osi czasu: 1 083 BTC na 1 196 adresach w 41 minut 30 lipca, a następnie weekendowe sweepy, które podnoszą obserwowane straty do 1 367 BTC na 4 585 adresach. Najnowsza klasteryzacja jest widoczna w blokach około 960 778–960 792, przy szybszym tempie sweepu niż w oknie kontrolnym przed incydentem. Atrybucja wskazuje na problem w firmware Coldcard z marca 2021 r.: generowanie seedu było kierowane do przewidywalnego programowego randomizera zamiast do sprzętowego randomizera układu (chip). Coinkite wydało awaryjne oprogramowanie układowe dla dotkniętych modeli (Mk3/Mk4/Mk5/Q) i zaleca użytkownikom przeniesienie środków na adresy wygenerowane przy użyciu świeżego firmware’u, ponieważ wcześniej wygenerowane seedu mogą pozostać narażone. Dla traderów: obserwuj skoki opłat RBF w mempoolu oraz możliwe późniejsze napływy BTC na giełdy, jeśli ofiary szybko będą się przegrupowywać. Może to dodać krótkoterminową zmienność przepływom BTC, ale nie oczekuje się, aby zmieniło to długoterminowe fundamenty. (Słowo kluczowe: „Coldcard wallet sweep” pojawia się w tytule i jest przywoływane w treści wielokrotnie.)