COLDCARD钱包漏洞盗取的大部分未动，但链上调查发现另一攻击者开始通过混币器转移小额资金
通过COLDCARD钱包漏洞盗取的大部分比特币至今未被转移，但链上调查人员发现，另一名攻击者已开始将较小金额的资金通过混币器进行路由。
摘要
已知最大的COLDCARD攻击者控制着七个地址中的1,159枚比特币。这1,159枚比特币均未进入混币器，也未转移至可识别的提现服务。另一名攻击者将64枚比特币发送至混币器，最初混合了约10枚比特币。调查人员已向执法机构、交易所和分析公司分发了约600个标记地址。
COLDCARD攻击者未动1,159枚比特币
Galaxy Research表示，与COLDCARD漏洞相关的最大已知盗窃案涉及1,159枚比特币。这些资金仍分布在攻击者关联的七个地址中，自最初收集以来从未移动过。
根据Bitcoin News引用的最新链上监测数据，这些比特币在41分钟内被盗。调查人员未检测到从这七个地址向交易所、混币器或其他常用于掩盖被盗资金的服务进行转账。因此，这些资产更准确地描述为“未移动”而非“技术冻结”。比特币交易不能仅因地址被标记就在协议层面被阻止。
然而，攻击者将资金兑换为法定货币或其他资产时可能面临困难。据报道，执法机构、加密货币交易所和区块链分析公司已标记了约600个与此次大规模盗窃相关的地址。任何向合规交易所的转账都可能触发交易监控控制，并引发对接收比特币账户的信息查询。
较小的攻击者开始混合被盗比特币
其他链上活动表明，另一名攻击者已开始试图掩盖部分被盗资金。分析人员追踪到64枚比特币进入了与混币器相关的交易流程。最初约10枚比特币被混合，约54枚比特币作为找零返回。剩余资金随后被分割成每个约7枚比特币的输出，用于进一步混合。
混币器通过组合或重组交易，使得将加密货币的原始来源与其最终目的地关联起来更加困难。然而，这并不能保证资金变得不可追踪。分析人员表示，相对较大且大小一致的输出使得这次洗钱尝试更容易被追踪。调查人员可以继续监控这些交易，因为比特币会经过更多地址。该活动似乎也与持有1,159枚比特币的七个地址集群无关。此前的报道发现，多名攻击者可能利用了同一个钱包漏洞，因此一个集群的移动不应自动归因于每一起COLDCARD盗窃案。
Galaxy此前追踪到1,596枚被盗比特币
Galaxy Research确认，攻击者在三波攻击中从约7,300个地址盗走了1,596枚比特币。此外，他们还发现了14起与同一种子生成漏洞相关的较小事件。第四波疑似攻击可能使总数增至约2,055枚比特币，不过Galaxy尚未通过足够的受害者报告确认这些额外损失。
该漏洞源于固件错误，削弱了生成钱包种子短语时使用的随机性。攻击者可以离线重现可能的种子，推导出其比特币地址，并与区块链上可见的地址进行比对。他们无需物理接触设备、获取PIN码或访问比特币网络本身。底层的比特币协议并未受到破坏。
Coinkite已发布修正固件，但更新无法保护使用有漏洞版本生成的种子短语。受影响的用户必须创建全新的种子，并将比特币转移到由此派生出的地址。
美国调查人员监控标记地址
Galaxy此前表示，已将已确认的攻击者和受害者地址与美国的执法机构、交易所和网络调查小组共享。不断扩大的地址列表可能有助于当局在攻击者试图使用受监管服务时识别被盗资金。尽管如此，追回比特币仍存在不确定性。攻击者可能在尝试兑换之前，将资金转移到多个地址、混币器、去中心化平台或美国管辖范围之外的服务。
最新的混币器活动为调查人员提供了一条新的交易追踪线索，而最大已知攻击者持有的1,159枚比特币则仍处于持续公开监控之下。
