Der Coldcard-Wallet-Hack hat eine neue Phase erreicht: Der Angreifer hinter den Angriffen hat laut Galaxy Research rund 45 % der in der dritten Angriffswelle gestohlenen Bitcoin verschoben (Beitrag).

Galaxy Research wies darauf hin, dass der Hacker weiterhin große Mengen der gestohlenen BTC transferiert. Nachdem er zuvor einen Teil der Gelder über THORChain bewegt und am 2. September in ETH umgetauscht hatte, greift der Angreifer nun auf CoinJoins zurück, um die Spur der gestohlenen Gelder zu verwischen. CoinJoin ist eine Privatsphäre-Technik, bei der die Transaktionen eines Nutzers mit denen anderer Teilnehmer vermischt werden, was es für Blockchain-Analysten erheblich erschwert, einzelne Coins nachzuverfolgen – ein häufiges Hindernis für Ermittler und Börsen, die illegale Erlufe einfrieren wollen.

Etwa 97,09 BTC im geschätzten Wert von 7,8 Millionen Dollar wurden bereits aus den betroffenen Vaults entnommen.

Angreifer zielt zuerst auf die größten Vaults

Laut Galaxy entnimmt der Hacker die gestohlenen Bitcoin offenbar nach Vault-Größe – beginnend bei den Vaults mit den meisten Coins bis hin zu denen mit den wenigsten. Die Vaults Nr. 1 bis 11 wurden vom Angreifer bereits verschoben. Die nächsten 10 Vaults, die noch unberührt sind, enthalten etwa 30,81 BTC, während die Vaults Nr. 61 bis 293 zusammen 33,77 BTC umfassen.

Nur ein kleiner Teil des gestohlenen Geldes wurde vom Hacker an andere Wallets übertragen. Galaxy schätzt, dass 82 % der beim gesamten Coldcard-Hack gestohlenen Bitcoin noch in der ursprünglichen, vom Hacker kontrollierten Adresse liegen. Dass die Mehrheit der Gelder unbewegt bleibt, ist für Opfer und Beobachter relevant: Solange sich die Beute in einer einzigen Adresse bündelt, bleibt sie vorerst nachverfolgbar, während Techniken wie Cross-Chain-Swaps und Mixing diese Sichtbarkeit allmählich zersetzen.

Firmware-Fehler im Zusammenhang mit dem Hack

Der Coldcard-Wallet-Hack begann am 30. Juli und stand im Zusammenhang mit einer Schwachstelle in der Firmware, die Coinkite 2021 ausgeliefert hatte. Die Sicherheitslücke entstand durch eine Einschränkung der Zufälligkeit bei der Erzeugung von Wallet-Seeds durch die Coldcard-Geräte, wodurch bestimmte Seeds für Brute-Force-Angriffe offenstanden. In der Folge konnten die Hacker die privaten Seed-Phrasen ableiten und Bitcoin von kompromittierten Single-Signature-Adressen abheben. Fehler bei der Seed-Entropie gehören zu den schwerwiegendsten Klassen von Hardware-Wallet-Schwachstellen, da sie die Kernfunktion des Geräts untergraben – Schlüssel zu erzeugen, die nur der Besitzer kennen kann – und betroffene Nutzer keine einfache Möglichkeit hatten zu erkennen, dass ihre Seeds schwächer als erwartet waren.

Bis Mitte August schätzte Galaxy Research, dass rund 1.779 BTC von etwa 190 Opfern über mehr als 8.600 Adressen gestohlen worden waren.

Verluste könnten 143,9 Millionen Dollar erreichen

Der Gesamtschaden des Coldcard-Hacks könnte über frühere Erwartungen hinausgehen. Galaxy gab an, dass der Hacker Gelder aus einem zusätzlichen Vault mit 58 Adressen von Coldcard-Opfern gemeinsam ausgegeben hat, was die Zahl der verlorenen Coins auf 1.806 BTC erhöhen würde. Zum aktuellen Kurs sind die verlorenen Bitcoin rund 143,9 Millionen Dollar wert.

Galaxy hat zudem die Möglichkeit weiterer, damit zusammenhängender Cyberangriffe – bezeichnet als „Wave 4“ – angesprochen, das Unternehmen hat die Existenz einer vierten Welle jedoch nicht bestätigt. Ob weitere Wellen eintreten und ob Börsen oder Chain-Analyse-Firmen die gemischten Gelder markieren können, wird bestimmen, wie viel der gestohlenen Bitcoin letztlich nachverfolgt oder wiedererlangt werden kann.

Die anhaltende Bewegung der gestohlenen Bitcoin zeigt, dass der Angriff auf Coldcard weiterhin aktiv ist und der Hacker Taktiken wie Cross-Chain-Swaps und CoinJoin einsetzt, um die Spur zu verwischen.

Verwandt: Galaxy Research: Coldcard-Exploit flaut ab, während Gesamtverluste auf mindestens 1.700 BTC steigen