Coldcard-Diebstahl steigt auf 88 Millionen Dollar, während Einzahlungen an Börsen sprunghaft ansteigen und alte BTC-Bestände bewegt werden

Eine dritte Welle vergrößert den Schaden

Galaxy Research gab auf X bekannt, dass die drei mutmaßlichen Wellen zum Zeitpunkt der Analyse etwa 4.585 Adressen leergeräumt und Bitcoin im Wert von rund 88,6 Millionen US-Dollar erbeutet haben. Die Forschungsgruppe wies darauf hin, dass es sich um vorläufige Ergebnisse handelt, die ausschließlich auf öffentlich zugänglichen Daten der Bitcoin-Blockchain basieren. Ein weiteres Dashboard namens „Coldcard Sweep Watch“ beziffert den Diebstahl am Samstag um 17:00 Uhr EDT auf 1.158,8480 BTC.

Den Forschern von Galaxy zufolge war die erste Welle die größte: Am 30. Juli wurden innerhalb von 41 Minuten 1.082,65 BTC von 1.195 Adressen abgezogen. Bei einer zweiten Aktion wurden am folgenden Tag 76,16 BTC von 1.478 Adressen abgezogen. Die dritte Welle erstreckte sich vom 31. Juli bis zum 1. August und entzog rund 208 BTC von 1.912 Adressen.

Diese dritte Aktion schien keine einfache Fortsetzung der ersten beiden zu sein. Bei den Wellen 1 und 2 wurden die Gelder über eine kleine Anzahl von Sammel- und Halteadressen geleitet. Welle 3 leitete die Gelder der Opfer stattdessen in 293 separate P2WSH-Tresore um – eine Art von Bitcoin-Adresse, die ihre Ausgabebedingungen verbergen kann, bis die Coins bewegt werden.

Die getrennten Tresore erschweren es externen Beobachtern, die Gelder zusammenzufassen. Galaxy erklärte, dass diese Änderung darauf hindeuten könnte, dass der ursprüngliche Angreifer die Operation neu aufgesetzt hat, nachdem die ersten Abhebungen öffentlich geworden waren, oder dass eine andere Partei denselben anfälligen Adresspool entdeckt hat. Anhand der Blockchain-Aufzeichnungen allein lässt sich nicht feststellen, welche Erklärung zutrifft.

Galaxy brachte die Aktivität mit einer anfälligen Coinkite-Coldcard-Firmware-Version in Verbindung, die am 17. März 2021 ausgeliefert wurde. Keine der betroffenen Coins wurde vor dieser Version erstellt, und die Medianadresse der Opfer war etwa 3,5 Jahre lang inaktiv geblieben, was dem für langfristige Cold-Storage-Lösungen erwarteten Verhalten entspricht.

Einzahlungen an Börsen liefern ein zweites Signal

Während die Forscher die mutmaßlichen Diebstähle nachverfolgten, verzeichneten zentralisierte Kryptowährungsbörsen am 31. Juli einen starken Anstieg der Bitcoin-Einzahlungen. Von Sani von Timechainindex.com bereitgestellte Daten zeigten Nettozuflüsse an die Börsen in Höhe von 11.163 BTC im Laufe des Tages.

River erhielt schätzungsweise 3.679 BTC, gefolgt von Binance mit 3.224 BTC, Kraken mit 2.848 BTC und OKX mit 1.291 BTC. Zentralisierte Börsen erhielten insgesamt 15.205 BTC von nicht identifizierten Adressen, wodurch sich ihre gemeldeten Bestände an einem einzigen Tag massiv erhöhten.

Große Zuflüsse an Börsen erregen oft Aufmerksamkeit, da bei Handelsplattformen eingezahlte Coins möglicherweise für den Verkauf, als Sicherheiten oder für interne Verwahrungstransfers vorgesehen sind. Die Daten belegen nicht, dass die Einzahlungen vom 31. Juli von Coldcard-Nutzern, Angreifern oder Personen stammten, die direkt auf den Vorfall reagierten.

Der Zeitpunkt ist dennoch bemerkenswert. Ein Sicherheitsalarm kann Inhaber durchaus dazu veranlassen, ihre Aufbewahrung neu zu organisieren, Coins an Börsen zu übertragen oder Wallet-Konfigurationen aufzugeben, denen sie nicht mehr vertrauen. Er kann aber auch mit unabhängigen institutionellen Übertragungen, Kundeneinzahlungen und der Buchhaltung der Börsen zusammenfallen, was den Zustrom-Anstieg zwar bedeutsam, aber nicht aussagekräftig macht.

Viele ruhende Bitcoin-Bestände kommen in Bewegung

Eine dritte Entwicklung zeigte sich, als eine große Anzahl von Adressen, die zwischen 2010 und 2017 erstellt wurden, nach neun bis 16 Jahren Inaktivität begannen, Coins zu bewegen – dies geht aus Statistiken hervor, die Bitcoin.com News von btcparser.com zusammengetragen hat. Die sichtbaren Transaktionen vom 30. Juli bis zum 1. August beliefen sich auf insgesamt etwa 306 BTC, darunter wiederholte Überweisungen von 10 BTC und 30 BTC. Eine am 2. Juli 2010 erstellte Adresse bewegte eine alte Coinbase-Transaktion von über 50 BTC. Zu den weiteren Transaktionen gehörten 37,8 BTC von einer Adresse aus dem Jahr 2014 sowie eine koordinierte Gruppe von Überweisungen aus drei Wallets, die am 29. Juli 2017 erstellt wurden. Diese drei Wallets transferierten 37,5 BTC und zwei separate Beträge von je 30 BTC im selben Block.

Die inaktiven Aktivitäten lassen sich anhand der verfügbaren Daten nicht mit den Coldcard-Sweeps in Verbindung bringen. Tatsächlich führte Galaxy Research aus, dass die Coins der mutmaßlichen Opfer alle nach der Veröffentlichung der anfälligen Firmware im Jahr 2021 erstellt wurden, während viele der neu aktiven, zuvor inaktiven Wallets bereits Jahre vor der Existenz von Coldcard Bitcoin enthielten.

Ähnlich wie bei den von Sani berichteten Aktivitäten an Börsen könnten jedoch seit langem inaktive Bitcoin-Besitzer (BTC) ihre Sicherheitsvorkehrungen hinterfragen und Gelder in Alternativen, einschließlich Verwahrungsdienste, verlagern.

Soweit wir wissen, gab Galaxy Research bekannt, dass es sieben Halteradressen aus den ersten beiden Wellen sowie 293 Tresore aus der dritten Welle überwacht. Die erste Auszahlung aus diesen Tresoren könnte deren Skripte offenlegen und zeigen, ob dieselben Signaturschlüssel oder dieselbe Ausgabestruktur über mehrere Adressen hinweg auftreten.

Zum Zeitpunkt der Veröffentlichung blieb die Stimmung im Internet weiterhin stark bärisch, wobei BTC unter 63.000 US-Dollar bei genau 62.326 US-Dollar pro Coin gehandelt wurde.