Galaxy Research heeft bevestigd dat er 1.719 BTC, ter waarde van ongeveer $111 miljoen, is gestolen bij de exploit van de Coldcard hardware wallet. Coldcard wordt geproduceerd door Coinkite en behoort tot de meest gebruikte Bitcoin-only hardware wallets, ontworpen om privésleutels in geïsoleerde cold storage te bewaren, weg van op het internet aangesloten apparaten. Het bedrijf schat dat de totale verliezen waarschijnlijk de $130 miljoen overschrijden, terwijl onderzoekers aanvullende verdachte munten blijven onderzoeken.

Alex Thorn, Head of Firmwide Research bij Galaxy, heeft verliesrapporten ontvangen van meer dan 250 slachtoffers. Uitstaande kandidaten die momenteel worden beoordeeld, zouden de bevestigde verliezen kunnen opdrijven tot boven de 2.300 BTC.

Bevestigde verliezen en statistisch profiel

Galaxy verklaarde dat het munten pas als bevestigd classificeert nadat er een hoge mate van zekerheid is vastgesteld, doorgaans door middel van meerdere slachtoffermeldingen. Het huidige bevestigde totaal staat op 1.719 BTC.

Volgens de gegevens van Thorn variëren individuele verliezen van 624 satoshis tot 58,97 BTC. Gemeten per adres is het mediaanverlies 0,014 BTC en het gemiddelde 0,212 BTC. Gemeten per gemeld slachtoffer bereikt het mediaanverlies 1,022 BTC, met een gemiddelde van 4,04 BTC.

Oudere Bitcoin overheerst in gestolen fondsen

De gestolen munten vertonen een duidelijk leeftijdspatroon. De gemiddelde rustperiode bedraagt 3,5 jaar en 88% van de gestolen munten was ten minste één jaar oud. Galaxy meldde dat er geen gestolen munt voor 17 maart 2021 op de blockchain is ontstaan — een datum die samenvalt met de release van de getroffen Coldcard-firmware. De concentratie van diefstal onder langdurig vastgehouden munten betekent dat gebruikers die meerdere jaren lang wat zij beschouwden als veilige cold-storage-opstellingen handhaafden, niettemin zijn getroffen, een patroon dat de ernst van een inbreuk op firmwaresniveau in een apparaatcategorie waarvan de belangrijkste waardepropositie sleutelisolatie is, onderstreept.

De getroffen hardwaremodellen zijn Coldcard Mk3, Mk4, Mk5 en Q. Onderzoekers zeiden dat er momenteel geen bewijs is dat andere ondertekeningsapparaten of wallets impliceert.

Meerdere dreigingsactoren en aanvalsgolven

Het onderzoek heeft meer dan 25 verschillende aanvalspatronen geïdentificeerd verspreid over Golven 1, 2 en 3, wat duidt op de betrokkenheid van meerdere dreigingsactoren.

Galaxy beschreef het slachtofferprofiel over alle drie de golven als overwegend gewone bitcoin-houders in plaats van grootschalige investeerders, en stelde dat de slachtoffers "voornamelijk geen whales zijn." De verdeling van de verliezen — variërend van fracties van een bitcoin tot bijna 59 BTC per adres — weerspiegelt dat de exploit houders trof over een breed spectrum aan wallet-groottes, in plaats van een specifieke categorie te targeten.

Het onderzoeksteam blijft de inzendingen van slachtoffers beoordelen en aanvullende kandidaat-munten onderzoeken voordat ze aan de bevestigde set worden toegevoegd. Galaxy merkte op dat uitstaande kandidaten de bevestigde verliezen boven de 2.300 BTC kunnen verhogen naarmate het onderzoek vordert.