Der Angreifer hinter einer Reihe von Exploits gegen Coldcard-Hardware-Wallets bewegt weiterhin gestohlene Bitcoins. Laut Galaxy Research hat der Betreiber, der mit der dritten Angriffswelle in Verbindung gebracht wird, bereits rund 45% der in dieser Phase gestohlenen Gelder transferiert.
Die Forscher schätzen, dass zuletzt etwa 97,09 BTC im Wert von rund 7,8 Millionen US-Dollar bewegt wurden. Ein Teil der Transaktionen wurde über CoinJoin durchgeführt, einen Mechanismus, der die Nachverfolgung von Geldbewegungen auf der Blockchain erschwert.
Gleichzeitig bleibt der Großteil der gestohlenen Vermögenswerte unangetastet. Galaxy schätzt, dass sich rund 82% aller gestohlenen BTC weiterhin auf den ursprünglichen Adressen befinden, die mit dem Angreifer in Verbindung stehen.
Der Angreifer bewegt schrittweise die größten Guthaben
Die Analyse der Transaktionen deutet darauf hin, dass der Angreifer nicht alle gestohlenen Gelder auf einmal verschiebt, sondern schrittweise vorgeht und mit den kompromittierten Wallets mit den größten Guthaben beginnt.
Laut Galaxy wurden die Gelder aus den 11 größten Wallets bereits bewegt. Die nächsten 10 noch unangetasteten Wallets enthalten zusammen rund 30,81 BTC.
Eine weitere Gruppe kleinerer Wallets, die nach Größe des Guthabens auf den Plätzen 61 bis 293 liegen, enthält insgesamt etwa 33,77 BTC.
Dieses Muster könnte darauf hindeuten, dass der Angreifer versucht, die gestohlenen Gelder schrittweise zu konsolidieren oder ihre Herkunft zu verschleiern, ohne den gesamten Betrag in einer einzigen Transaktion zu bewegen.
Ein Teil der BTC wurde über CoinJoin transferiert
Der Angreifer hatte bereits zuvor einen Teil der gestohlenen Vermögenswerte über verschiedene Kryptodienste bewegt. Insbesondere wurde ein Teil der BTC über THORChain in Ether umgetauscht.
Später begann der Angreifer, CoinJoin zu nutzen. Dabei werden mehrere Transaktionen miteinander kombiniert, wodurch es schwieriger wird, die ursprüngliche Herkunft und das endgültige Ziel einzelner Coins zu bestimmen.
Galaxy schätzt, dass etwa 18% aller gestohlenen Gelder die ursprünglichen Adressen bereits durch Transaktionen verlassen haben, die von den Forschern mit Versuchen in Verbindung gebracht werden, die weitere Nachverfolgung der Vermögenswerte zu erschweren.
Die Angriffe wurden mit einer Schwachstelle bei der Seed-Generierung von Coldcard in Verbindung gebracht
Die Serie der Diebstähle begann am 30. Juli. Forscher brachten den Vorfall mit einem Fehler in der Firmware bestimmter Coldcard-Geräte in Verbindung, der bereits 2021 eingeführt worden war.
Das Problem betraf den Prozess zur Generierung von Seed-Phrasen auf einigen Geräten. Aufgrund einer unzureichenden Zufälligkeit konnten bestimmte Kombinationen deutlich vorhersehbarer sein, als es das Sicherheitsdesign vorsah.
Dadurch könnten Angreifer in der Lage gewesen sein, die notwendigen Informationen zu rekonstruieren, um auf anfällige Bitcoin-Wallets zuzugreifen, ohne physischen Zugriff auf das Hardware-Gerät zu benötigen.
Der Vorfall zeigt, dass die Sicherheit einer Hardware-Wallet nicht nur davon abhängt, private Schlüssel offline zu speichern, sondern auch von der Zuverlässigkeit der Algorithmen, mit denen kryptografische Daten ursprünglich erzeugt werden.
Galaxy hatte zuvor rund 1.779 gestohlene BTC identifiziert
Mitte August schätzte Galaxy Research, dass etwa 1.779 BTC gestohlen worden waren.
Nach Angaben des Unternehmens könnten die Angriffe rund 190 Nutzer und mehr als 8.600 Bitcoin-Adressen betroffen haben.
Die Forscher brachten außerdem die Möglichkeit einer weiteren Angriffswelle ins Spiel, konnten diese Hypothese jedoch zu diesem Zeitpunkt nicht abschließend bestätigen.
Eine neu identifizierte Adressgruppe könnte den Schaden auf 1.806 BTC erhöhen
Bei einer späteren Analyse entdeckte Galaxy eine zuvor nicht identifizierte Gruppe von 58 Adressen, deren Gelder später gemeinsam vom Angreifer ausgegeben wurden.
Die Forscher gehen davon aus, dass diese Adressen möglicherweise zusätzlichen Opfern desselben Coldcard-Exploits gehörten.
Sollte sich diese Annahme bestätigen, könnte die insgesamt gestohlene Summe auf etwa 1.806 BTC steigen. Bei der aktuellen Bitcoin-Bewertung entspräche dies rund 143,9 Millionen US-Dollar.
Galaxy betont jedoch, dass die aktualisierte Zahl weiterhin nur eine Schätzung ist. Die Forscher haben noch nicht bestätigt, dass jede der neu identifizierten Adressen tatsächlich durch die Coldcard-Schwachstelle kompromittiert wurde.
Der Großteil der gestohlenen Bitcoins befindet sich weiterhin auf den ursprünglichen Adressen
Trotz der anhaltenden Bewegung der Gelder wurde ein erheblicher Teil der gestohlenen Vermögenswerte weiterhin nicht transferiert.
Galaxy schätzt, dass rund 82% der gestohlenen BTC auf den ursprünglichen Adressen des Angreifers verbleiben. Die zukünftige Aktivität dieser Wallets könnte Analysten daher zusätzliche Informationen über die Strategie des Angreifers und mögliche Wege zur Verschiebung der Gelder liefern.
Der Coldcard-Vorfall hat sich bereits zu einem der größten jüngsten Angriffe im Zusammenhang mit Bitcoin-Hardware-Wallets entwickelt. Sollte sich die Schätzung von 1.806 BTC bestätigen, könnten sich die Gesamtverluste auf fast 143,9 Millionen US-Dollar belaufen, während sich die Untersuchung mit der Entdeckung weiterer verbundener Adressen und Transaktionen noch ausweiten könnte.