Galaxy Research hat eine zweite Welle von Bitcoin-Diebstählen identifiziert, die mit einer Schwachstelle im Coldcard-Wallet zusammenhängt. Die gesamten Verluste belaufen sich auf 1.158,81 BTC – rund 75,1 Mio. USD. Coldcard, ein ausschließlich für Bitcoin bestimmtes Hardware-Wallet des Herstellers Coinkite, wird unter Befürwortern von Self-Custody aufgrund seines Air-Gapped-Sicherheitsdesigns weitläufig verwendet. Die beiden koordinierten Angriffe zielten zwischen dem 30. und 31. Juli auf 2.673 Adressen ab. Sämtliche gestohlene Mittel verbleiben unangetastet auf sieben vom Angreifer kontrollierten Wallets. Forscher warnten, dass weitere Angriffe weiterhin möglich sind.

Zweite Welle erweitert den Rahmen des Angriffs

Der erste Angriff leerte am 30. Juli innerhalb von nur 41 Minuten 1.082,65 BTC aus 1.195 Adressen. Etwa 27 Stunden später saugte eine zweite Operation weitere 76,16 BTC aus 1.478 verschiedenen Adressen über einen Zeitraum von drei Stunden und 42 Minuten ab.

Galaxy Research stellte fest, dass es zwischen den beiden Opfergruppen keine überschneidenden Adressen gab. Obwohl die zweite Welle eine größere Anzahl von Wallets erreichte, zielte sie auf deutlich kleinere Guthaben als die erste Kampagne.

Beide Angriffe wiesen zudem unterschiedliche Gebührenmuster bei Transaktionen auf. Die erste Welle nutzte konsistent Gebühren von 30 sat/vbyte, während die zweite Welle hauptsächlich 10 und 50 sat/vbyte verwendete, wobei mehrere kleinere Transaktionen bei etwa vier sat/vbyte lagen.

Forscher verfolgen das gestohlene Bitcoin

Laut Galaxy Research bleiben alle 1.158,66 BTC über sieben vom Angreifer kontrollierte Adressen hinweg un ausgegeben. Forscher bezeichneten die fehlende Bewegung als ungewöhnlich für einen Diebstahl dieser Größenordnung und merkten an, dass jede Überweisung an Börsen oder Mixing-Services die nächste bedeutende Entwicklung darstellen würde.

Das Unternehmen berichtete außerdem, dass Ingenieure bei Block möglicherweise identifizierende Informationen aufgedeckt haben, die mit dem mutmaßlichen Angreifer verbunden sind.

Galaxy Research erläuterte, dass die Tracking-Methodik auf Transaktions-Fingerabdrücken anstatt auf der zugrunde liegenden Schwachstelle beruht. Forscher warnten, dass künftige Angreifer eine ähnliche Erkennung umgehen könnten, indem sie Transaktionsgebühren verändern, Change-Outputs hinzufügen, separate Zieladressen verwenden oder Überweisungen über längere Zeiträume verteilen.

Sicherheitswarnungen bleiben bestehen

Galaxy Research forderte alle Nutzer mit betroffenen Single-Signature-Coldcard-Wallets auf, ihre Mittel umgehend auf neu generierte Wallets zu übertragen. Multisignatur-Nutzer bleiben jedoch geschützt, solange Coldcard-Geräte allein nicht ausreichen, um Transaktionen zu autorisieren.

Alex Thorn, Head of Research bei Galaxy, gab an, dass ein Hacker einen Teil des gestohlenen Bitcoin eines Opfers über THORChain in Ether umgewandelt und anschließend rund 229,72 ETH bei Duel Casino eingezahlt haben soll. Thorn sagte, dass das Opfer und ein Forscher eine Sperrung des Betrags forderten, die Plattform ihnen jedoch riet, sich an die Strafverfolgungsbehörden zu wenden.

Darüber hinaus erklärte Binance-Gründer Changpeng Zhao, allgemein bekannt als CZ, dass Firmware-Updates zuvor generierte Self-Custody-Wallets nicht schützen können. Er betonte, dass Nutzer die betroffenen Mittel selbst bewegen müssen, da Entwickler keinen Zugriff auf Air-Gapped-Geräte haben und bestehende Wallet-Seeds nicht ändern können. Der Vorfall unterstreicht eine übergreifende Herausforderung bei der Sicherheit von Hardware-Wallets: Während Geräte wie Coldcard darauf ausgelegt sind, private Schlüssel offline zu halten, können Schwachstellen, die während der Wallet-Seed-Generierung entstehen, unentdeckt bleiben, bis sie ausgenutzt werden. Die Nutzer sind dann auf eine schnelle Offenlegung und eine Migration zu nicht betroffenen Setups angewiesen.