Galaxy Research hat bestätigt, dass 1.719 BTC im Wert von etwa 111 Millionen Dollar beim Exploit der Coldcard-Hardware-Wallet gestohlen wurden. Coldcard wird von Coinkite hergestellt und gehört zu den am weitesten verbreiteten Bitcoin-only-Hardware-Wallets, die darauf ausgelegt sind, private Schlüssel in einem isolierten Cold Storage fernab von internetverbundenen Geräten aufzubewahren. Das Unternehmen schätzt, dass die Gesamtverluste wahrscheinlich 130 Millionen Dollar übersteigen, während Forscher weiterhin zusätzliche verdächtige Coins prüfen.

Alex Thorn, Head of Firmwide Research bei Galaxy, hat Verlustmeldungen von mehr als 250 Opfern erhalten. Ausstehende Kandidaten, die derzeit geprüft werden, könnten die bestätigten Verluste auf über 2.300 BTC ansteigen lassen.

Bestätigte Verluste und statistisches Profil

Galaxy erklärte, dass Coins erst nach dem Herstellen einer hohen Wahrscheinlichkeit, typischerweise durch mehrere Opferberichte, als bestätigt eingestuft werden. Die aktuell bestätigte Gesamtzahl liegt bei 1.719 BTC.

Laut Thorns Daten reichen die individuellen Verluste von 624 Satoshis bis zu 58,97 BTC. Nach Adressen gemessen liegt der Median der Verluste bei 0,014 BTC und der Durchschnitt bei 0,212 BTC. Nach gemeldeten Opfern gemessen erreicht der Median der Verluste 1,022 BTC, bei einem Durchschnitt von 4,04 BTC.

Ältere Bitcoin dominieren die gestohlenen Gelder

Die gestohlenen Coins weisen ein deutliches Altersmuster auf. Die mittlere Liegezeit beträgt 3,5 Jahre, und 88 % der gestohlenen Coins waren mindestens ein Jahr alt. Galaxy berichtete, dass kein gestohlener Coin vor dem 17. März 2021 on-chain erzeugt wurde – ein Datum, das mit der Veröffentlichung der betroffenen Coldcard-Firmware zusammenfällt. Die Konzentration von Diebstählen unter lang gehaltenen Coins bedeutet, dass auch Benutzer, die über mehrere Jahre hinweg Cold-Storage-Setups unterhielten, von denen sie glaubten, dass sie sicher seien, dennoch betroffen waren. Dieses Muster unterstreicht die Schwere einer Kompromittierung auf Firmware-Ebene in einer Gerätekategorie, deren Hauptversprechen die Schlüsselisolation ist.

Die betroffenen Hardware-Modelle sind Coldcard Mk3, Mk4, Mk5 und Q. Forscher sagten, dass es derzeit keine Beweise dafür gibt, dass andere Signaturgeräte oder Wallets in die Kompromittierung verwickelt sind.

Mehrere Bedrohungsakteure und Angriffswellen

Die Untersuchung hat mehr als 25 verschiedene Angriffsmuster über die Wellen 1, 2 und 3 hinweg identifiziert, was auf die Beteiligung mehrerer Bedrohungsakteure hindeutet.

Galaxy beschrieb das Opferprofil über alle drei Wellen hinweg als überwiegend alltägliche Bitcoin-Inhaber anstelle von Großinvestoren und erklärte, dass die Opfer „größtenteils keine Wale“ seien. Die Verlustverteilung – die von Bruchteilen eines Bitcoins bis zu fast 59 BTC pro Adresse reicht – zeigt, dass das Exploit Inhaber über ein breites Spektrum von Wallet-Größen betraf, anstatt eine bestimmte Gruppe ins Visier zu nehmen.

Das Forschungsteam prüft weiterhin die Einreichungen der Opfer und untersucht zusätzliche Kandidaten-Coins, bevor diese in die bestätigte Menge aufgenommen werden. Galaxy wies darauf hin, dass ausstehende Kandidaten die bestätigten Verluste im Laufe der Untersuchung auf über 2.300 BTC ansteigen lassen könnten.