Chainalysis stellte fest, dass der Coldcard-Angreifer innerhalb von 10 Minuten rund 30 Millionen US-Dollar erbeutete, nachdem er sich vorrangig auf die größten Wallets konzentriert hatte. Der Raubzug im Wert von über 38 Millionen US-Dollar betraf 500 Wallets und deckte dauerhafte Risiken für Seeds auf, die auf anfälliger Firmware erstellt wurden.
Coldcard-Hacker erbeutete innerhalb von 10 Minuten 30 Millionen Dollar, indem er es auf große Wallets abgesehen hatte
GESCHRIEBEN VON
TEILEN
Wichtigste Erkenntnisse
- Der Angreifer erbeutete in den ersten 10 Minuten rund 30 Millionen US-Dollar.
- Die Ermittler identifizierten 500 Wallets von Opfern, die innerhalb von 25 Minuten leergeräumt wurden.
- Sicherheitslücken aufweisende Seeds müssen ersetzt werden, auch nach der Installation des Hotfixes.
Der Angreifer konzentrierte sich auf Coldcard-Wallets mit den höchsten Guthaben
Das Blockchain-Analyseunternehmen Chainalysis gab am 31. Juli bekannt, dass der Angreifer frühzeitig auf hochwertige Coldcard-Hardware-Wallets abzielte und so den Gesamtbetrag der gestohlenen Gelder rasch in die Höhe trieb. Das Unternehmen stellte fest, dass drei der zehn größten betroffenen Wallets zum Zeitpunkt der Analyse mindestens 10 BTC enthielten, was einem Wert von etwa 636.000 US-Dollar entsprach.
Ein Opfer verlor etwa 1,8 Millionen US-Dollar, während der kumulierte Wert der entwendeten Beträge in den ersten 10 Minuten der Aktion auf 30 Millionen US-Dollar anstieg. Die Reihenfolge der Angriffe deutete darauf hin, dass der Angreifer die verfügbaren Wallets untersucht hatte, bevor er mit dem systematischen Überfall begann. Chainalysis berichtete:
„Dieses Muster deutet darauf hin, dass der Angreifer die Wallets der Opfer untersucht hat, bevor er fortfuhr.“
Innerhalb von etwa 25 Minuten leerte der Angreifer 500 verschiedene Wallets, was zu einem starken Anstieg des gestohlenen Wertes führte, bevor er sich auf kleinere Guthaben ausweitete. Chainalysis nutzte seine Untersuchungsplattform „Reactor“, um den Geldfluss, die Adressen der Opfer und die Konzentration der größten Verluste zu untersuchen.
Die Abfolge deutet auf ein bewusstes Bestreben hin, die frühen Erlöse zu maximieren, anstatt Wallets nach dem Zufallsprinzip zu bearbeiten oder ihrer ursprünglichen Erstellungsreihenfolge zu folgen. Die Priorisierung größerer Guthaben verringerte zudem das Risiko, dass Warnungen, Börsenkontrollen oder defensive Überweisungen die wertvollsten Gelegenheiten des Angreifers einschränken würden.
Bezahlter Blockchain-Dienstleister während der Überprüfungen aufgespürt
Die Untersuchung von Block zu den Entleerungen der Coldcard-Wallets begann, nachdem die Bitcoin-Entwicklungs- und Sicherheitsteams des Unternehmens Berichte erhalten hatten, dass Wallets außerhalb der firmeneigenen Bitkey-Plattform leergeräumt wurden. Clay Garrett, Leiter der Bitkey-Entwicklung, beschrieb ein ungewöhnliches Anfragemuster, das den Ermittlern half, einen vermuteten Arbeitsablauf zu identifizieren.
Die Ermittler stellten fest, dass der Betreiber ein kostenpflichtiges Konto bei einem bekannten Blockchain-Dienstleister genutzt hatte, um Quelladressen abzufragen und damit verbundene Aktivitäten durchzuführen. Die internen Aufzeichnungen des Anbieters stimmten Berichten zufolge hinsichtlich der vermuteten Anzahl, des Zeitpunkts und der Reihenfolge der Anfragen mit dem überein, was Garrett als außergewöhnliche Genauigkeit bezeichnete. Garrett erklärte:
„Der Anbieter erbrachte seine Standarddienstleistungen als Reaktion auf Anfragen, die keinen Hinweis auf deren übergeordneten Zweck gaben.“
Block fand keine Hinweise darauf, dass der namentlich nicht genannte Anbieter wissentlich an dem mutmaßlichen Diebstahl beteiligt war oder dem Betreiber absichtlich bei dessen Durchführung half. Das Unternehmen kontaktierte den Anbieter direkt und begann, relevante Informationen an die zuständigen Behörden weiterzugeben, wobei es Offenlegungen einschränkte, die die Ermittlungen beeinträchtigen könnten.
Coinkite-Sicherheitshinweis identifiziert betroffene Coldcard-Firmware
Während die Ermittler die gestohlenen Gelder zurückverfolgten, präzisierte Coinkite erneut, welche Geräte von der zugrunde liegenden Sicherheitslücke betroffen waren. Die Sicherheitsmitteilung des Unternehmens zur Coldcard Mk3 bezog sich auf Geräte, die Seeds mit den Firmware-Versionen 4.0.1 bis 5.0.3 generierten. Erste Erkenntnisse deuteten darauf hin, dass die Modelle Mk4, Q und Mk5 nicht betroffen waren, während Berichte etwa 594 BTC im Wert von fast 38 Millionen US-Dollar mit rund 500 ruhenden Wallets in Verbindung brachten, die innerhalb von etwa 25 Minuten leergeräumt wurden.
Viele betroffene Adressen waren seit Jahren inaktiv und wiesen in der Regel Guthaben zwischen 0,15 BTC und 0,26 BTC auf. Coinkite empfahl, einen Ersatz-Seed auf einem nicht betroffenen Gerät zu erstellen, eine kleine Testtransaktion zu senden, die Empfängeradresse auf dem Hardware-Bildschirm zu bestätigen und das vorherige Backup aufzubewahren, bis die Migration erfolgreich abgeschlossen ist.
Anfällige Seeds bleiben auch nach Firmware-Updates gefährdet
Coldcard-Besitzer, die Seeds mit anfälliger Firmware generiert haben, sind Risiken ausgesetzt, die sich nicht allein durch die Installation des neuesten Hotfixes beheben lassen. Chainalysis riet betroffenen Nutzern, einen völlig neuen Seed auf gepatchter Hardware zu erstellen, bevor sie ihre Bitcoin aus den betroffenen Wallets übertragen.
Das Unternehmen empfahl zudem die Verwendung einer starken BIP-39-Passphrase als zusätzlichen Schutz. Chainalysis überwacht weiterhin die Wallet des Angreifers, eine Sammeladresse sowie Berichte über potenziell andauernde Angriffe auf Adressen, bei denen der Verdacht besteht, dass sie von anfälligen privaten Schlüsseln abgeleitet wurden. Block kündigte an, weitere Erkenntnisse zu veröffentlichen, sobald dies die Ermittlungen nicht mehr gefährdet.
Dieser Artikel wurde mithilfe von KI aus dem Englischen übersetzt. Die englische Originalversion ist die maßgebliche Quelle; automatische Übersetzungen können Ungenauigkeiten enthalten, insbesondere bei rechtlicher und regulatorischer Terminologie.
