Im dritten großen Coldcard-Angriff gestohlene Bitcoin wurden erstmals von den ursprünglichen Adressen des Angreifers bewegt, wobei ein Teil der Mittel über THORChain in Ether umgewandelt wurde – das geht aus On-Chain-Tracking hervor, das intangiblecoins auf X geteilt hat.

Etwa 4.2 BTC wurden in rund 135 ETH getauscht, während der Angreifer mehrere Routen über das Cross-Chain-Liquiditätsprotokoll testete. THORChain ist ein erlaubnisfreies Protokoll, das native Asset-Tausche zwischen verschiedenen Blockchains ohne Wrapped Tokens oder zentrale Verwahrer ermöglicht – ein Design, das es zuvor wiederholt zum Ort für die Bewegung illegaler Krypto-Assets machte, da Nutzer keinen regulierten Vermittler mit Identitätsprüfungen durchlaufen. Mehrere Tauschversuche wurden erstattet, bevor sie wiederholt wurden, und die resultierenden ETH wurden zu einer neu erstellten Ethereum-Adresse zurückverfolgt.

Mittel der Welle 3 verlassen die ursprünglichen Adressen

Die Bewegung markiert die erste bestätigte ausgehende Aktivität von den ursprünglichen Konsolidierungsadressen, die mit den Coldcard-Wellen 1, 2 oder 3 verbunden sind.

Welle 3 entnahm Anfang August ursprünglich 207.7294 BTC aus gefährdeten Wallets und verwendete eine Transaktionsstruktur, die sich von den ersten beiden großen Angriffswellen unterschied.

Der Großteil dieser Bitcoin der Welle 3 ist weiterhin unbewegt. Die jüngsten Transaktionen stellen stattdessen einen ersten Versuch dar, einen Teil der gestohlenen BTC in Assets umzuwandeln, die sich leichter über Ethereum und andere Blockchain-Infrastrukturen bewegen lassen als natives Bitcoin, dessen Netzwerk keine native Smart-Contract-Schicht besitzt, die ähnlich flexible Transfers oder Tausche eigenständig ermöglichen würde.

Die Ziel-Adresse auf Ethereum und die zugehörigen Transaktionspfade wurden mit Börsen, Compliance-Firmen und Strafverfolgungsbehörden geteilt, während die Bemühungen zur Identifizierung potenzieller Ausgänge fortgesetzt werden. Sobald Mittel als ETH vorliegen, können sie über dezentrale Börsen, Bridges und Mixing-Dienste im Ethereum-Ökosystem geleitet werden, was die Anzahl der Pfade erhöht, die Ermittler im Vergleich zur Verfolgung statischer Bitcoin-Outputs überwachen müssen.

Coldcard-Diebstahl erreichte mindestens 1.778 BTC

Der umfangreichere Coldcard-Kompromittierung ging auf eine schwache Seed-Generierung zurück, die durch fehlerhafte Firmware bis März 2021 eingeführt wurde. Ein Fehler bei der Zufallszahlengenerierung konnte bei manchen Wallets zu dramatisch schwächerer Entropie der privaten Schlüssel führen, was Angreifern mit ausreichenden Rechenressourcen ermöglichte, betroffene Seeds remote zu rekonstruieren.

Mindestens 1.778,84 BTC wurden bis Mitte August von mehr als 8.600 Adressen als gestohlen bestätigt – laut Galaxy Research. Zusätzliche Cluster mit geringerer Konfidenz könnten die endgültige Gesamtsumme deutlich höher treiben.

Bewegungen hatten bereits von kleineren Angreifer-Footprints außerhalb der drei Hauptwellen stattgefunden, einschließlich Mitteln, die über CoinJoin-Transaktionen, Peel Chains, Bridges und zentrale Dienste geleitet wurden. Die neue THORChain-Aktivität ist bedeutsam, weil die ursprünglichen Wallets der drei größten identifizierten Angriffswellen nach dem Erhalt der gestohlenen BTC unangetastet geblieben waren.

Firmware-Update kann bestehende Seeds nicht reparieren

Coinkite veröffentlichte im August ein aktualisiertes Coldcard-Sicherheitsfirmware, das zusätzliche, vom Nutzer bereitgestellte Zufälligkeit bei der Generierung neuer Wallet-Seeds verlangt.

Ein Update der betroffenen Hardware macht einen bestehenden gefährdeten Seed nicht sicher. Bitcoin, die unter Seeds liegen, die mit betroffener Firmware generiert wurden, müssen in eine neu erstellte Wallet übertragen werden, die mit gepatchter Software und ausreichend frischer Entropie erzeugt wurde.

Der Großteil der Bitcoin, die mit den ursprünglichen Adressen der Welle 3 verbunden sind, verblieb nach den ersten THORChain-Tauschen an Ort und Stelle, während Ermittler die neu empfangenen ETH und etwaige nachfolgende Transfers von der Ziel-Adresse weiter verfolgen. Ob weitere Konvertierungen aus den noch unbewegten Beständen der Welle 3 folgen und ob Börsen Einzahlungen kennzeichnen, die mit der Ziel-Adresse verbunden sind, wird die nächste Phase der Verfolgungsbemühungen prägen.