Coldcard-Wave-3-Angreifer verschiebt gestohlene Gelder durch CoinJoin

Der Angreifer, der mit der dritten Welle der Coldcard-Wallet-Diebstähle in Verbindung steht, hat begonnen, zusätzliches Bitcoin zu bewegen: Frühere Transfers wurden über THORChain nach Ethereum geleitet, neuere Bewegungen in CoinJoin-Runden geschickt. Galaxy Research dokumentierte die Aktivität in einem On-Chain-Update vom 7. September und berichtete, dass der Angreifer 293 Zwei-von-Zwei-Multisignatur-Vaults mit den Münzen der Opfer erstellt hatte.

Das Update dokumentiert Wallet-Verhalten, nicht die Identität oder Absicht des Angreifers. Das Leiten von Geldern durch Cross-Chain-Infrastruktur und kollaborative Bitcoin-Transaktionen kann die Rückverfolgung erschweren, belegt jedoch für sich allein nicht, dass die Erlöse erfolgreich gewaschen wurden.

Wave-3-Gelder verlassen ihre Vaults

Laut Galaxy erfolgten die ersten Bewegungen dieser Welle am 2. September, als Münzen über THORChain gesendet wurden und bei Ethereum ankamen. Anschließend beobachtete die Forschungsfirma, wie spätere Transfers in CoinJoin-Runden eingingen. Ihr öffentlicher Beitrag nannte keinen endgültigen Betrag und bestätigte nicht, dass jeder Vault geleert wurde.

Ein CoinJoin kombiniert Eingaben und Ausgaben mehrerer Teilnehmer in einer einzigen Bitcoin-Transaktion. Dieses Konstruktion wird seit Langem von Privacy-Wallets wie Wasabi und Samourai genutzt, deren Koordinationsdienste in den letzten Jahren zu Zielpunkten behördlicher Ermittlungen wurden – eine Erinnerung daran, dass Mixing, obwohl in vielen Rechtsordnungen legal, erhöhte Aufmerksamkeit auf sich zieht. Die Struktur erschwert eine einfache Analyse des Transaktionsgraphen, da ein Beobachter nicht ohne Weiteres annehmen kann, dass jede Eingabe einer bestimmten Ausgabe zugeordnet ist. Ermittler können weiterhin auf Timing, Beträge und späteres Ausgabeverhalten setzen, though die Zuordnungsgewissheit sinken kann.

Die jüngste Bewegung folgt auf den größeren Coldcard-Zwischenfall

Coldcard, entwickelt vom kanadischen Unternehmen Coinkite, ist ein beliebter Air-Gapped-Hardware-Signer unter Bitcoin-Self-Custody-Nutzern, weshalb die Exploit-Wellen in dieser Community breite Resonanz fanden. Galaxy hatte die dritte Welle zuvor mit Hunderten von Angreifer-erstellten Vaults in Verbindung gebracht. Frühere Berichte über den Coldcard-Exploit und die betroffenen Bitcoin beschrieben einen umfangreicheren Diebstahl im Zusammenhang mit kompromittierter Wallet-Generierung, bei der angreifbare Seeds von einem Angreifer abgeleitet werden konnten. Die neuesten Transfers verwandeln den Fall von weitgehend stationären Beständen in ein aktives Rückverfolgungsproblem.

THORChain und CoinJoin spielen in diesem Pfad unterschiedliche Rollen. THORChain ermöglicht Swaps zwischen nativen Assets ohne Wrapped-Zwischenschritte, während CoinJoin innerhalb von Bitcoin durch das Kombinieren von Transaktionen arbeitet. Keines der Tools ist an sich böswillig; ihre Relevanz ergibt sich hier aus der beobachteten Nutzung durch Adressen, die Galaxy dem Angreifer zuordnet.

Wallet-Behebung bleibt getrennt von der Gelderverfolgung

Das Verfolgen gestohlener Gelder repariert keinen kompromittierten Seed. Nutzer, die von schwacher Wallet-Generierung betroffen sind, müssen mit korrigierter Software oder vertrauenswürdiger Hardware einen neuen Seed erstellen und ihre verbleibenden Assets übertragen. Das bloße Installieren neuer Firmware kann eine bereits offengelegte Recovery-Phrase nicht wieder geheim machen.

Galaxys Update gibt Ermittlern eine neue Sequenz zur Überwachung, eine Wiedererlangung ist jedoch nicht garantiert. Jede definitive Aussage zur Zuordnung, zur gemischten Menge oder zum Ziel der getauschten Assets wird zusätzliche On-Chain-Beweise und möglicherweise Informationen von Diensten erfordern, die die Gelder empfangen. Für betroffene Nutzer und Börsen besteht der praktische nächste Schritt darin zu beobachten, ob getauschte Ethereum-seitige Assets Dienste mit Identifikationspflichten erreichen – historisch ein Engpass in vergleichbaren Rückverfolgungsfällen.