White-Hat-Forscher haben 52,37 Bitcoin im Zusammenhang mit dem Coldcard-Wallet-Exploit in einen Recovery-Trust überführt, um die Mittel zu sichern, bevor Angreifer darauf zugreifen können. Die Transaktion wurde im Bitcoin-Block 967.948 bestätigt.

Die Übertragung markiert den jüngsten Schritt im laufenden Bemühen, die mit dem Coldcard-Vorfall im Juli verbundenen Mittel zu sichern. Der Exploit betraf Wallets, deren Seed-Generierung auf schwächerer Zufälligkeit beruhte – eine Schwäche, die es Angreifern ermöglichte, bestimmte Wallet-Seeds zu rekonstruieren und exponierte Guthaben abzuschöpfen.

Die neu gesicherten 52,37 BTC vereinen Mittel aus Wave 2 und aus Adressclustern, die als Footprints AA, AU und AX identifiziert wurden. Diese Bezeichnungen spiegeln eine gängige Technik der On-Chain-Analyse wider, bei der zusammenhängende Adressen zu benannten Clustern gruppiert werden, damit die Bewegung verfolgter Mittel in der öffentlichen Blockchain nachvollzogen werden kann. Der Betrag entspricht rund 2,8 % der insgesamt im Zusammenhang mit dem Exploit verfolgten Mittel.

Verfolgung der geborgenen Bitcoin

Die Empfängeradresse enthielt eine OP_RETURN-Nachricht, die betroffene Nutzer an den Recovery-Trust verwies. OP_RETURN ist ein Ausgabetyp von Bitcoin-Transaktionen, der eine kurze Text-Nutzlast einbetten kann, die für jeden einsehbar ist, der die Blockchain untersucht – so wurden die Hinweise des Trusts für betroffene Nutzer sichtbar. Die Struktur ist darauf ausgelegt, die geborgenen Vermögenswerte getrennt zu halten, während die Eigentumsansprüche geprüft werden.

Die Forscher haben zudem zusätzliche Aktivitäten rund um dieselbe Recovery-Adresse beobachtet. Weitere 3,0134 BTC flossen ohne frühere Verfolgungshistorie in die Adresse. Analysten haben diese Coins als potenziell mit dem Coldcard-Recovery-Vorhaben verbunden beschrieben, ihre Herkunft bleibt jedoch unbestätigt. Die Unsicherheit zeigt, dass eine öffentliche Blockchain zwar Aufschluss darüber gibt, wohin Coins bewegt werden, aber nicht, wer sie bewegt hat; die Zuordnung stützt sich in der Regel auf dieselbe Art Clustering-Beweisen, die auch den Footprints-Bezeichnungen zugrunde liegt.

Etwa 40 % der verfolgten Wave-2-Mittel wurden inzwischen als White-Hat-Aktivität identifiziert. Diese Unterscheidung ist wichtig, weil die Forscher diese Coins zum Schutz und nicht zum Diebstahl bewegt haben; der verbleibende Anteil der Wave-2-Mittel lässt sich bisher keiner bestätigten Kategorie zuordnen.

Fragen zur Verteilung bleiben bestehen

Die Bergung bedeutet nicht automatisch, dass betroffene Nutzer ihre Bitcoin sofort erhalten. Der Trust muss zunächst feststellen, welche Adressen Anspruch haben, und entscheiden, wie die geborgenen Mittel verteilt werden sollen.

Der Vorfall verdeutlicht auch das anhaltende Risiko für Wallets, die mit anfälligen Seed-Generierungsprozessen erstellt wurden. Während ein Firmware-Update den zugrunde liegenden Softwarefehler beheben kann, kann es einen bereits mit schwacher Zufälligkeit erzeugten Seed nicht rückwirkend ändern.

Die nun im Trust gehaltenen 52,37 BTC stellen daher einen konkreten Fonds für eine mögliche Entschädigung dar, während Fragen zu Verifizierung, Eigentum und endgültiger Verteilung im Mittelpunkt des Wiederherstellungsprozesses bleiben. Wie die nächsten Schritte verlaufen – einschließlich der weiteren Identifizierung der Wave-2-Aktivität und der Klärung der nicht zuordenbaren 3,0134 BTC –, wird entscheiden, was betroffene Nutzer letztlich zurückerhalten können.