Cómo robaron 70 millones en bitcoin sin ni siquiera tocar las carteras frías ¡El hackeo que dejó a todos boquiabiertos!

Cada paso de esto sucede en la computadora del atacante. El dispositivo de la víctima no se mete para nada, ni siquiera tiene que estar prendido; podría estar apagado en un baúl en otro continente y ni cuenta se daría.

Galaxy mostró cómo se ejecuta este proceso. De las carteras vaciadas, 1,183 usaban el formato moderno de direcciones segwit, siete usaban un formato más antiguo y seis uno aún más viejo. Nadie va a andar atacando a una sola persona usando los tres formatos al mismo tiempo.

Lo que hacen es hacer un barrido sistemático, chequeando cada posible código semilla con todos los caminos que podría haber generado. El operador puede ampliar la búsqueda, ir afinando y regresar cuando quiera.

Galaxy avisó que si los dueños no mueven su lana, van a venir más oleadas de ataques.

Tampoco hay forma para que un dueño sepa si está en peligro. No existe ninguna prueba para tu propia cartera que te diga si tu semilla está dentro del rango vulnerable.

El ataque aún no termina del todo

Coinkite, la marca de Coldcard, ya alertó a los dueños del Mk3 y dice que sus modelos más nuevos están a salvo, pero el informe de Block incluye también a los Mk2, Mk4, Q y Mk5 en la mira. Mientras no se arregle eso, cualquiera que haya generado su semilla con ese firmware afectado tiene que asumir lo peor y no hay forma de comprobar nada.

Eso sí, el atacante sí se aventó un pedo.

Clay Garrett de Block contó en X que el atacante usó una cuenta pagada en un proveedor conocido de datos de blockchain para checar las direcciones origen durante las revisiones. Y los registros internos de ese proveedor coincidían con todo el procedimiento sospechoso, ¡con un nivel de detalle impresionante! Desde el número, el tiempo y el orden de las consultas, no se les escapó nada.