Nieuwe analyse van Bitcoin-diefstalrapporten in verband met het beveiligingslek bij de Coldcard-hardwarewallet onthult dat gestolen fondsen overweldigend afkomstig waren van langdurig inactieve wallets, waarbij slachtoffers een mediaanverlies rapporteerden van meer dan één hele coin.

Gegevens die op X zijn gepubliceerd door Alex Thorn van Galaxy Research onderzochten 250 slachtofferrapporten. De bevindingen toonden aan dat de typische gestolen coin ongeveer 3,5 jaar onaangetast had gestaan, en dat 88% van de buit minstens één jaar oud was — een patroon dat overeenkomt met het profiel van langetermijnhouders die hardwarewallets specifiek voor cold storage aanschaffen en zelden hun fondsen aanraakten.

Gemeten per adres varieerden de verliezen van een mediaan van 0,014 Bitcoin tot een gemiddelde van 0,212 Bitcoin. Individuele slachtoffers rapporteerden echter een mediaanverlies van 1,022 Bitcoin en een gemiddelde van 4,04 Bitcoin — waarbij één houder maar liefst 58,97 coins verloor.

Hackers begonnen vorige week donderdag met het weghalen van meer dan $35 miljoen aan Bitcoin uit wallets. Coinkite, de fabrikant van Coldcard, bevestigde dat een firmwarebug in Coldcard Mk3-apparaten — ontstaan in versie 4.0.1 die in maart 2021 werd uitgebracht — ertoe leidde dat seed-generatie terugviel op een zwakke softwaregebaseerde pseudorandom number generator in plaats van de op hardware gebaseerde true random number generator. Dit beveiligingslek stelde aanvallers in feite in staat om de seedphrases van gebruikers te raden, de herstelsleutels die volledige controle geven over een Bitcoin-wallet.

De oorsprong van het lek in maart 2021 betekent dat getroffen apparaten mogelijk meer dan drie jaar lang onveilige seeds hebben gegenereerd, over meerdere firmware-releases heen. De diefstal hield aan gedurende het hele weekend, terwijl Coinkite en andere leden van de Bitcoin-gemeenschap Coldcard-gebruikers dringend verzochten om hun fondsen onmiddellijk naar veilige alternatieven over te hevelen.

Galaxy Research meldde op vrijdag dat $111 miljoen aan gestolen Bitcoin is bevestigd, hoewel het bedrag aanzienlijk kan stijgen naarmate het onderzoek voortduurt.

"We hebben nog veel meer coins die we aan het controleren zijn voor bevestiging — we denken dat het totale verlies waarschijnlijk de $130 miljoen overschrijdt," schreef het bedrijf op X (https://x.com/glxyresearch/status/2085748513015488758).

Sinds de aanval verhuizen voorzichtige investeerders hun coins naar andere opslagoplossingen, waaronder cryptobeursen — een opmerkelijke omkering voor gebruikers die hardwarewallets specifiek hadden aangeschaft om bewaring door derden te vermijden.

Coinkite zei in een verklaring deze week dat de softwarebug "stil onopgemerkt bleef" en "de potentiële impact groeide met elke release" van zijn producten. Enkele dagen na de eerste hack drong het bedrijf er bij alle investeerders op aan om hun firmware bij te werken of hun fondsen van het getroffen hardwarewallet te verplaatsen.

Bron: Bitcoin Magazine door Mathew Di Salvo.