Galaxy Research hat bestätigt, dass die Verluste durch den Hack der Coldcard-Bitcoin-Wallet 100 Millionen Dollar überschritten haben, wobei Forscher 1.596 gestohlene Bitcoin identifizierten, die über etwa 7.300 Adressen verteilt sind. Coldcard, eine von Coinkite produzierte Hardwarewallet, wird von Bitcoin-Nutzern weit verbreitet zur Offline-Cold-Storage-Aufbewahrung privater Schlüssel eingesetzt – eine Konfiguration, die allgemein als eine der sichereren Self-Custody-Lösungen gilt. Dies macht das Ausmaß der Kompromittierung für das Hardwarewallet-Ökosystem besonders bemerkenswert.

Das Forschungsteam legte seine Ergebnisse in einem umfassenden Thread auf X (Quelle) dar und identifizierte drei bestätigte Angriffswellen, die für die Diebstähle verantwortlich sind. Eine vermutete vierte Welle würde, falls bestätigt, die geschätzten Gesamtschäden auf etwa 2.055 BTC im Wert von rund 130 Millionen Dollar erhöhen.

Drei bestätigte Angriffswellen

Laut Galaxy Research haben Ingenieure bei Block zuerst Welle 1 entdeckt. Das Team bestätigte den Vorfall anschließend durch Berichte betroffener Nutzer. Opferberichte spielten auch eine entscheidende Rolle bei der Aufdeckung von Wellen 2 und 3.

Neue Bestätigungen gehen weiterhin ein, da zusätzliche Nutzer ihre Wallet-Aktivitäten überprüfen. Die meisten Opfer tauchten nur in einer einzigen Angriffswelle auf, obwohl Forscher feststellten, dass einige Adressen in zwei separaten Wellen kompromittiert wurden.

Über die drei großen Angriffe hinaus identifizierte der Bericht 14 kleinere Vorfälle. Galaxy Research deutete an, dass es sich bei diesen Fällen um unterschiedliche Angreifer handeln könnte, die dieselbe bekannte Schwachstelle ausnutzen. Das koordinierte, mehrstufige Exploitationsmuster unterstreicht eine übergreifende Herausforderung in der Hardwarewallet-Sicherheit: Sobald eine Schwachstelle entdeckt wurde, können mehrere Bedrohungsakteure diese unabhängig voneinander ausnutzen, bevor Nutzer auf gepatchte Firmware oder neue Seed-Phrases migrieren.

Laufende Rückverfolgungsbemühungen und mögliche vierte Welle

Galaxy Research berichtete, dass 73 Opfer Alex Thorn um Unterstützung bei der Rückverfolgung gestohlener Gelder kontaktiert haben. Diese Berichte halfen Ermittlern, zusätzliche Angreifer- und Opferadressen zu identifizieren.

Das Team identifiziierte auch eine mögliche vierte Welle, schloss diese jedoch aus den bestätigten Gesamtschäden aus, da Opfer ihre Einbeziehung noch nicht bestätigt haben. Die Forscher gaben an, dass sie mit mittlerer bis hoher Konfidenz davon ausgehen, dass die betreffende Aktivität einem Angreifer zuzuordnen ist.

Der größte Teil des gestohlenen Bitcoins bleibt unbewegt

Laut Galaxy Research wurden etwa 90 % des gestohlenen Bitcoins on-chain nicht bewegt. Jeder während der Wellen 1, 2 und 3 gestohlene Coin bleibt unangetastet. Die Ausbleiben von Bewegungen stimmt mit Mustern überein, die bei früheren groß angelegten Kryptowährungsdiebstählen beobachtet wurden, bei denen Angreifer Gelder häufig über längere Zeiträume unbewegt halten, bevor sie versuchen, diese zu waschen oder auszuzahlen.

Das Unternehmen hat bestätigte Angreifer- und Opferadressen an US-Bundesbehörden für Strafverfolgung, Kryptowährungsbörsen, Compliance-Unternehmen, Cyber-Ermittlungsgruppen und andere relevante Organisationen weitergeleitet.

Die Forscher rieten Coldcard-Nutzern, die bezüglich ihrer Wallet-Sicherheit unsicher bleiben, Gelder auf einen neuen Seed oder zu einem Verwahrer bzw. einer Börse zu übertragen. Zudem ermutigten sie Opfer, Alex Thorn mit geleerten Wallet-Adressen und Angreifer-Transaktions-IDs zu kontaktieren, um die laufenden Rückverfolgungsbemühungen zu unterstützen.