Coldcard-Diebstahl wächst auf 88 Millionen Dollar über drei Wellen an, während Börsenzuflüsse steigen und inaktives Bitcoin mobilisiert wird

Drei verdächtige Sweep-Operationen leeren 4.585 Adressen

Galaxy Research gab auf X bekannt, dass drei vermutete Diebstahlswellen insgesamt etwa 4.585 Adressen leerten und Bitcoin im Wert von rund 88,6 Millionen Dollar zum Zeitpunkt der Analyse erbeuteten. Das Unternehmen betonte, dass seine Erkenntnisse vorläufig sind und ausschließlich auf öffentlich verfügbaren Bitcoin-Blockchain-Daten basieren. Ein separates Tracking-Dashboard, Coldcard Sweep Watch, verzeichnete den Gesamtbetrag mit 1.158,8480 BTC zum Stand 17 Uhr EDT am Samstag.

Die größte der drei Wellen erfolgte zuerst. Am 30. Juli fegte ein Angreifer 1.082,65 BTC aus 1.195 Adressen in nur 41 Minuten, so die Forscher von Galaxy. Eine zweite Operation am folgenden Tag sammelte 76,16 BTC aus 1.478 Adressen. Die dritte Welle, die sich vom 31. Juli bis zum 1. August erstreckte, leerte etwa 208 BTC aus 1.912 Adressen.

Die dritte Welle durchbricht das Muster und wirft Fragen zur Identität des Angreifers auf

Die dritte Operation wich methodisch von den ersten beiden ab. Wellen 1 und 2 leiteten die gestohlenen Gelder durch eine kleine Anzahl von Sammler- und Halteadressen. Welle 3 verteilte das Bitcoin der Opfer hingegen auf 293 separate P2WSH-Tresore – eine Art native-SegWit-Adresse, die ihre Ausgabebedingungen verbirgt, bis die Coins bewegt werden.

Galaxy wies darauf hin, dass die fragmentierte Tresorstruktur es für externe Beobachter deutlich erschwert, die Gelder zu clustern und nachzuverfolgen. Die Veränderung könnte darauf hindeuten, dass der ursprüngliche Angreifer die Operation umstrukturierte, nachdem die ersten Sweeps öffentlich bekannt wurden. Alternativ könnte eine separate Partei unabhängig voneinander denselben Pool anfälliger Adressen identifiziert und ausgenutzt haben. Blockchain-Aufzeichnungen allein können nicht klären, welches Szenario zutrifft.

Sicherheitslücke auf Coldcard-Firmware-Version aus dem Jahr 2021 zurückgeführt

Galaxy verband die ausgenutzten Adressen mit einer anfälligen Coinkite-Coldcard-Firmware-Version, die am 17. März 2021 veröffentlicht wurde. Bedeutsam ist, dass keine der betroffenen Coins vor dieser Firmware-Veröffentlichung erzeugt wurden. Die mediane Opferadresse war etwa 3,5 Jahre inaktiv gewesen, was mit den Nutzungsmustern langfristiger Cold-Storage-Nutzer übereinstimmt.

Coldcard ist ein reines Bitcoin-Hardware-Wallet, das von Coinkite hergestellt und für sein Air-Gap-Sicherheitsmodell vermarktet wird, bei dem private Schlüssel niemals ein internetfähiges Gerät berühren sollen. Der Vorfall unterstreicht, dass selbst Wallets, die für die Offline-Speicherung von Schlüsseln entwickelt wurden, durch Firmware eingeführte ausnutzbare Schwachstellen aufweisen können – ein Anliegen, das den gesamten Hardware-Wallet-Sektor betrifft, wo die Gerätesicherheit stark von der Integrität der auf dem Gerät laufenden Software abhängt.

Börsenzuflüsse steigen am 31. Juli stark an

Während Forscher den Diebstahl kartierten, verzeichneten zentralisierte Kryptowährungsbörsen am 31. Juli einen dramatischen Anstieg bei Bitcoin-Einzahlungen. Von Sani von Timechainindex.com geteilte Daten zeigten Netto-Börsenzuflüsse von 11.163 BTC an diesem Tag.

River erhielt schätzungsweise 3.679 BTC, gefolgt von Binance mit 3.224 BTC, Kraken mit 2.848 BTC und OKX mit 1.291 BTC. Insgesamt erhielten zentralisierte Einrichtungen an einem einzigen Tag 15.205 BTC von nicht identifizierten Adressen, was ihre gemeldeten Bestände erheblich steigerte.

Große Börsenzuflüsse ziehen in der Regel Aufmerksamkeit auf sich, da Coins, die zu Handelsplattformen verschoben werden, für den Verkauf vorgesehen, als Sicherheit hinterlegt oder aus internen Verwahrungsgründen umgeschichtet sein könnten. Die Daten bestätigen nicht, dass die Einzahlungen vom 31. Juli von Coldcard-Nutzern, dem Angreifer oder Parteien stammten, die auf den Vorfall reagierten. Dennoch ist das Timing bemerkenswert – ein Sicherheitsereignis dieser Art kann Halter dazu veranlassen, ihre Speicherung umzustrukturieren, Coins zu Börsen zu verschieben oder Wallet-Konfigurationen aufzugeben, denen sie nicht mehr vertrauen. Die Zuflussspitze könnte gleichermaßen unabhängige institutionelle Überweisungen, routinemäßige Kundeneinzahlungen oder Börsen-Buchungsaktivitäten widerspiegeln, was sie bedeutsam, aber letztlich nicht eindeutig macht.

Lange inaktive Bitcoin-Wallets zeigen erneute Aktivität

Eine weitere Entwicklung trat zutage, als zahlreiche Adressen, die zwischen 2010 und 2017 erstellt wurden, nach neun bis sechzehn Jahren Inaktivität begannen, Coins zu bewegen. Statistiken, die von Bitcoin.com News aus btcparser.com zusammengestellt wurden, zeigten, dass sichtbare Transaktionen vom 30. Juli bis zum 1. August insgesamt etwa 306 BTC umfassten, einschließlich wiederholter Überweisungen von 10 BTC und 30 BTC.

Eine Adresse, die am 2. Juli 2010 erstellt wurde, überwies eine alte Coinbase-Transaktion von über 50 BTC. Weitere Transaktionen umfassten 37,8 BTC von einer Adresse aus dem Jahr 2014 und eine koordinierte Gruppe von Überweisungen von drei Wallets, die am 29. Juli 2017 erstellt wurden. Diese drei Wallets bewegten 37,5 BTC sowie zwei separate 30-BTC-Überweisungen, alle im selben Block bestätigt.

Die Aktivität inaktiver Wallets lässt sich nicht eindeutig mit den Coldcard-Sweeps in Verbindung bringen. Galaxy Research stellte fest, dass alle vermuteten Opfer-Coins nach der Veröffentlichung der anfälligen Firmware im Jahr 2021 erstellt wurden, während viele der neu aktiv gewordenen inaktiven Wallets Bitcoin bereits Jahre vor der Existenz von Coldcard hielten. Dennoch könnten, ebenso wie bei den Börsenzuflüssen, lange inaktive BTC-Halter ihre Sicherheitsvorkehrungen überprüfen und Vermögenswerte in alternative Speicher, einschließlich Verwahrdienstleistungen, umlagern.

Forscher überwachen weiterhin Halteadressen und Tresore

Galaxy Research gab an, dass es aktiv sieben Halteadressen aus den ersten beiden Wellen sowie 293 Tresore aus der dritten Welle überwacht. Die erste Ausgabe aus einem dieser Tresore könnte die zugrunde liegenden Skripte offenlegen und möglicherweise zeigen, ob identische Signaturschlüssel oder Ausgabestrukturen über mehrere Adressen hinweg auftreten. Eine solche Offenlegung würde der breiteren Blockchain-Analyse-Community ermöglichen, Clustering-Techniken anzuwenden und die dritte Welle möglicherweise mit den früheren Operationen zu verknüpfen – oder mit einem völlig anderen Akteur.

Zum Redaktionsschluss wurde BTC zu einem Preis von 62.326 Dollar gehandelt.