ZachXBT weigert sich, den 88-Millionen-Dollar-Hack bei Coldcard zurückzuverfolgen

ZachXBT sagt, er habe „weniger Verpflichtung“, zu helfen

Der produktive On-Chain-Ermittler, der dafür bekannt ist, Hacker hinter einigen der größten Diebstähle in der Krypto-Branche zu entlarven, schrieb auf X, dass er derzeit keine Pläne habe, den Coldcard-Vorfall zu überwachen oder nachzuverfolgen. Er erklärte, er konzentriere seine Zeit auf Ökosysteme, die seine Arbeit wertschätzen, und fügte hinzu, dass Bitcoin-Maximalisten weder Spender noch Unterstützer seiner Ermittlungen seien, weshalb er sich weniger verpflichtet fühle, zu helfen.

Die Äußerung erfolgte, als der Coldcard-Hack bereits in den fünften Tag ging und die Gesamtzahl der betroffenen Konten weiter stieg. ZachXBT hat zuvor bereits unentgeltlich an großen Fällen gearbeitet, und sein Beitrag deutet darauf hin, dass eine große Kluft besteht zwischen dem Wohlwollen, das ihm die Bitcoin-Community entgegengebracht hat, und dem Aufwand, den er aufbringen soll, wenn etwas schiefgeht.

Der Coldcard-Hack bisher

Der Exploit lässt sich auf einen Firmware-Fehler in Hardware-Wallets des kanadischen Herstellers Coinkite zurückführen. Der Fehler betraf Coldcard-Mk3-Geräte mit den Versionen 4.0.1 bis 4.1.9 und führte dazu, dass einige Wallets die Seed-Entropie über einen softwarebasierten Zufallszahlengenerator statt über den dedizierten Chip der Hardware erzeugten – ein Defekt, der bestimmte Seeds erratbar machte.

Die erste Angriffswelle ereignete sich am 30. Juli, als rund 594 BTC – damals im Wert von etwa 38 Millionen US-Dollar – innerhalb von weniger als 30 Minuten von fast 500 inaktiven Adressen abgezogen wurden. Coinkite veröffentlichte innerhalb von zwei Tagen eine gepatchte Firmware, doch der Schaden breitete sich weiter aus. Bis zum 2. August hatte Galaxy Research die Gesamtbeute auf 1.367 BTC im Wert von 88,6 Millionen US-Dollar beziffert, die in drei separaten Angriffswellen von 4.585 Adressen abgezogen worden waren.

Das Tempo und die Präzision der Diebstähle schürten Spekulationen, dass automatisierte Tools – möglicherweise KI-gestützt – dem Angreifer halfen, anfällige Adressen innerhalb von Minuten nach jedem Angriff zu identifizieren und zu leeren. Der Diebstahl nahm weiter rasant zu, selbst als die Einzahlungen der gestohlenen Gelder an Börsen sprunghaft anstiegen und ältere, zuvor inaktive BTC, die mit dem Fall in Verbindung standen, wieder in Bewegung gerieten.

Datenaufbewahrung verschärft die Kritik

Coinkites Umgang mit den Folgen ist zu einer eigenen Kontroverse geworden, da das Unternehmen jede Kundenadresse, die es aus seinen Shop- und Newsletter-Aufzeichnungen erreichen konnte – einige davon reichten bis ins Jahr 2019 zurück –, per E-Mail anschrieb, um vor dem Fehler zu warnen.

Dies stand im Widerspruch zu früheren Aussagen von CEO Rodolfo Novak, wonach Coinkite Kundendaten 90 Tage nach einem Kauf lösche und anonyme Kaufoptionen anbiete. Coinkite räumte später ein, dass es die E-Mail-Adressen von Käufern auf unbestimmte Zeit speichert, und gab zu, dass es keine Löschrichtlinie für diese Daten gibt – eine Offenlegung, die unabhängig vom Hack selbst eine eigene Welle der Kritik auslöste.

Novak verteidigte die allgemeine Sicherheitsbilanz des Unternehmens und wies darauf hin, dass auch Wettbewerber regelmäßig mit Sicherheitsverletzungen konfrontiert seien und dass Coinkite die Angelegenheit äußerst ernst nehme. Dennoch hat der Vorfall bereits dazu geführt, dass das Vertrauen in die Selbstverwahrung schwindet, und könnte vorsichtigere Anleger dazu bewegen, wieder auf börsengehandelte Fonds zurückzugreifen, anstatt ihre eigenen Schlüssel zu verwalten.

Die Geschichte hat sich auch zu einem Drama in der Blockchain ausgeweitet, das über den Diebstahl selbst hinausgeht. Ein dreistes Angebot zur Bitcoin-Geldwäsche, das sich an den Hacker richtete, wurde direkt in die Bitcoin-Blockchain gepostet und verwandelte den Fall in ein öffentliches Spektakel, das sich in Echtzeit in den sozialen Medien und anhand der On-Chain-Daten abspielte.

Da sich Schwergewichte wie ZachXBT zurückziehen, lastet die Aufgabe, die gestohlenen 1.367 BTC aufzuspüren, nun stärker auf Unternehmen wie Galaxy Research, das im Zuge der sich entwickelnden Wallet-Aktivitäten des Angreifers regelmäßig Updates veröffentlicht. Es sind Berichte aufgetaucht, wonach der Entropie-Fehler, der Coldcard-Mk3-Geräte betrifft, auf einen Firmware-Build vom März 2021 zurückgeht. Das bedeutet, dass jeder Wallet-Seed, der in den letzten mehr als vier Jahren mit dieser Version generiert wurde, weiterhin gefährdet sein könnte, bis die Besitzer auf einen neuen Seed mit der gepatchten Firmware umsteigen.