Etwa 64 Bitcoin im Wert von 4,17 Millionen Dollar und 200 Ether im Wert von 380.000 Dollar, die mit der jüngsten Coldcard-Schwachstelle in Verbindung stehen, wurden zu Kryptowährungs-Mixing-Protokollen transferiert, wie die Blockchain-Sicherheitsplattform CertiK meldet.

Der Bitcoin wurde am Dienstag von der Adresse bc1q0 zum Wasabi-Mixing-Protokoll verschoben, basierend auf von CertiK geteilten Blockchain-Daten. Die 200 Ether (ETH) wurden am Mittwoch an Tornado Cash gesendet, wie in Certik's X-Beitrag berichtet wurde.

„Wir denken, dass es sich um einen kleineren Angreifer handeln könnte. Es gibt wahrscheinlich einige Nachahmer nach dem ursprünglichen Angriff", sagte ein CertiK-Sprecher gegenüber Cointelegraph.

Kryptowährungs-Mixing-Protokolle wie Tornado Cash bündeln und verschleiern digitale Vermögenswerte mehrerer Nutzer, wodurch die öffentlich nachverfolgbare Onchain-Verbindung zwischen Absendern und Empfängern durchtrennt wird. Dieser Prozess erschwert die Nachverfolgung gestohlener Mittel erheblich und verringert die Wahrscheinlichkeit einer Wiederbeschaffung.

Die Vorgehensweise ähnelt einer Geldwäscheoperation aus dem April, als der für den 293-Millionen-Dollar-Kelp-DAO-Hack verantwortliche Hacker rund 75.700 Ether – damals 175 Millionen Dollar wert – hauptsächlich über THORChain wusch und dabei rund 910.000 Dollar an Gebühreneinnahmen für das Protokoll generierte. Dieser Angreifer nutzte auch das Umbra-Privacy-Protokoll.

Die Coldcard-Schwachstelle rangiert derzeit als drittgrößter Kryptowährungs-Hack des Jahres 2026. Sie entzog mindestens 100 Millionen Dollar an Bitcoin über drei bestätigte Angriffswellen, die 7.300 Opfer-Wallets betrafen, laut Galaxy Digital. Das Unternehmen identifizierte außerdem eine vermutete vierte Welle, die die gesamten Verluste auf etwa 130 Millionen Dollar in BTC ansteigen lassen könnte. Coldcard, hergestellt von dem in Toronto ansässigen Unternehmen Coinkite, wird unter Verfechtern von Bitcoin-Selbstverwahrung wegen seines Air-Gapped-Designs weit verbreitet verwendet, was den Angriff besonders schädlich für das Vertrauen in die Sicherheit von Hardware-Wallets macht.

Die meisten Nachahmer-Angreifer haben gestohlene Mittel nicht verschoben

Onchain-Analysen, die von TRM Labs durchgeführt wurden, ergaben, dass die Mehrheit der Opfermittel weiterhin in einer kleinen Anzahl von angreiferkontrollierten Adressen mit begrenzten Mixing-Versuchen gebündelt ist, wie ein am Donnerstag veröffentlichter Bericht zeigt. Das bisher relativ geringe Volumen an Mitteln, die durch Mixer bewegt wurden, lässt ein schmales Zeitfenster für Blockchain-Analysten und Strafverfolgungsbehörden offen, um verbleibende Vermögenswerte zu verfolgen und möglicherweise einzufrieren, bevor sie gewaschen werden.

Das Blockchain-Intelligenzunternehmen stellte fest, dass „Unterschiede in der Transaktionskonstruktion" über die einzelnen Angriffswellen hinweg auf mehrere Angreifer hindeuten, die für den Angriff verantwortlich waren. Dies stimmt mit den früheren Erkenntnissen von Galaxy Digital überein, die mindestens 15 verschiedene Angreifer identifizierten, die die Coldcard-Schwachstelle ausnutzten.

TRM Labs stellte fest, dass ein Firmware-Fehler aus März 2021 die Seed-Zufälligkeit bei bestimmten Coldcard-Wallets schwächte, die Schlüsselstärke von 128 Bits auf 40 Bits reduzierte und die Wallets „ohne physischen Zugriff per Brute-Force angreifbar" machte. Die Schwachstelle blieb etwa fünf Jahre lang unentdeckt, in welcher Zeit betroffene Wallets Schlüssel generierten, die rechnerisch knackbar waren.

Haseeb Qureshi, Managing Partner bei Dragonfly, schrieb, dass etwa „2 Dollar an AI-Hardening" die Coldcard-Schwachstelle hätte verhindern können, unter Verweis auf Berichte in sozialen Medien, wonach einige AI-Modelle die zugrundeliegende Schwachstelle in weniger als 20 Minuten wiederentdeckt hatten.