Coldcard-Hacker verschiebt Bitcoin im Wert von 7,7 Millionen Dollar
Galaxy Research sieht, dass der Angreifer über THORChain und CoinJoin Spuren verwischt hat. Coldcard hat inzwischen einen Firmware-Fix veröffentlicht, doch betroffene Nutzer müssen neue Seeds anlegen.
Wichtigste Erkenntnisse
- Der Hacker hinter der dritten Coldcard-Diebstahlwelle hat 97,09 BTC im Wert von rund 7,7 Millionen Dollar über zwei verschiedene Wege verschoben.
- Galaxy Research meldete, dass der Angreifer Bitcoin über THORChain, CoinJoin und mehrere Vaults verschoben hat, wodurch der Geldfluss schwerer nachzuvollziehen ist.
- Der Fehler lag in der Coldcard-Firmware mit schwacher Seed-Generierung; betroffene Nutzer müssen neue Seeds erstellen und ihr Geld verschieben.
Der Hacker hinter der dritten Welle von Diebstählen aus Coldcard Hardware Wallets hat 97,09 BTC im Wert von rund 7,7 Millionen Dollar (6,6 Millionen Euro) über zwei verschiedene Wege verschoben. Das entspricht fast 45 % der Bitcoin, die in dieser Angriffswelle erbeutet wurden, laut Galaxy Research.
Verschiebungen über THORChain
Galaxy sagte, dass der Angreifer am 2. September rund 20,5 BTC aus dem größten Vault über THORChain geschickt hat, woraufhin der Erlös auf Ethereum landete. Zwei Tage später folgten 15,48 BTC aus dem zweitgrößten Vault über eine CoinJoin-Transaktion. Am 6. September wurden weitere 61,12 BTC aus zehn Vaults verschoben.
CoinJoin bündelt Bitcoin-Transaktionen mehrerer Nutzer, wodurch es schwieriger wird, bestimmte Inputs späteren Outputs zuzuordnen. Das erschwert es Forschern, den Geldfluss nachzuverfolgen, vor allem wenn mehrere Wege gleichzeitig genutzt werden.
Was Galaxy gesehen hat
Nach Angaben von Galaxy arbeitet der Angreifer die 293 Vaults in Reihenfolge ihrer Größe ab, und inzwischen sind die 11 größten geleert. Die nächsten 10 Vaults enthalten zusammen noch 30,81 BTC, während Vaults 61 bis 293 zusammen 33,77 BTC halten. Galaxy betonte außerdem, dass diese Vaults nicht den Opfern selbst gehören, sondern vom Angreifer mit einem Two-of-Two-Multisignature-Setup angelegt wurden.
Das Unternehmen sagte weiter, dass ein zuvor nicht identifizierter Vault, der aus 58 Adressen befüllt wurde, wahrscheinlich ebenfalls mit einem anderen Coldcard-Opfer verknüpft ist, auch wenn das noch nicht bestätigt ist. Wird dieser Vault mitgezählt, kommt Wave 3 auf 294 Vaults, und der breitere Exploit steigt auf rund 1.806 BTC im Wert von etwa 143,9 Millionen Dollar (124 Millionen Euro).
Warum das für Nutzer wichtig ist
Der Fall zeigt, wie anfällig Hardware Wallets werden können, wenn die Seed-Generierung nicht richtig funktioniert. Der Fehler lag in einer Coldcard-Firmware, die die Zufälligkeit des Seeds schwächte, wodurch Angreifer private Keys offline rekonstruieren konnten. Coinkite hat inzwischen eine gefixte Firmware veröffentlicht, warnt aber, dass betroffene Nutzer neue Seeds erstellen und ihr Geld verschieben müssen, weil ein Update bereits kompromittierte Seeds nicht einfach wiederherstellt.
Galaxy sagte außerdem, dass rund 82 % der erbeuteten Bitcoin über alle Wellen hinweg weiterhin auf Adressen liegen, die vom Angreifer kontrolliert werden. Etwa 18 % wurden in Transaktionen verschoben, die die Herkunft der Mittel verschleiern sollen.
