Der größte Teil der durch den COLDCARD-Wallet-Fehler gestohlenen Bitcoins bleibt unberührt, aber On-Chain-Ermittler haben einen separaten Angreifer entdeckt, der beginnt, kleinere Beträge über einen Mischer zu leiten.
Zusammenfassung
- Der größte bekannte COLDCARD-Angreifer kontrolliert 1.159 BTC über sieben Adressen.
- Keiner der 1.159 BTC ist in Mischer gelangt oder an einen identifizierbaren Auszahlungsdienst übertragen worden.
- Ein separater Angreifer hat 64 BTC an einen Mischer gesendet und zunächst etwa 10 BTC gemischt.
- Ermittler haben etwa 600 markierte Adressen an Strafverfolgungsbehörden, Börsen und Analysefirmen verteilt.
COLDCARD-Angreifer lässt 1.159 BTC unberührt
Galaxy Research erklärte, dass der größte bekannte Diebstahl im Zusammenhang mit der COLDCARD-Schwachstelle 1.159 BTC umfasste. Die Gelder bleiben auf sieben Adressen verteilt, die mit dem Angreifer verbunden sind, und haben sich seit der ersten Sicherung nicht bewegt.
Die Bitcoins wurden innerhalb von 41 Minuten gestohlen, so die neuesten On-Chain-Überwachungsdaten, die von Bitcoin News zitiert werden. Ermittler haben keine Übertragungen von den sieben Adressen an Börsen, Mischer oder andere Dienste festgestellt, die üblicherweise zur Verschleierung gestohlener Gelder verwendet werden.
Die Vermögenswerte sind daher besser als unberührt zu beschreiben, nicht als technisch eingefroren. Bitcoin-Transaktionen können auf Protokollebene nicht gestoppt werden, nur weil eine Adresse markiert wurde.
Der Angreifer könnte jedoch Schwierigkeiten haben, die Gelder in Fiat oder andere Vermögenswerte umzuwandeln. Strafverfolgungsbehörden, Kryptowährungsbörsen und Blockchain-Analysefirmen haben Berichten zufolge etwa 600 Adressen markiert, die mit dem größeren Diebstahl in Verbindung stehen.
Jede Übertragung an eine konforme Börse könnte Transaktionsüberwachungskontrollen und Anfragen nach Informationen über das Konto, das die Bitcoins erhält, auslösen.
Kleinerer Angreifer beginnt mit dem Mischen gestohlener Bitcoins
Separate On-Chain-Aktivitäten deuten darauf hin, dass ein anderer Angreifer begonnen hat, einen Teil der gestohlenen Gelder zu verschleiern.
Analysten verfolgten 64 BTC, die in einen mit einem Mischer verbundenen Transaktionsfluss gelangten. Ungefähr 10 BTC wurden zunächst gemischt, während etwa 54 BTC als Wechselgeld zurückkamen. Die verbleibenden Gelder wurden anschließend in Ausgaben von jeweils etwa 7 BTC für weiteres Mischen aufgeteilt.
Mischer kombinieren oder restrukturieren Transaktionen, um es schwieriger zu machen, die ursprüngliche Quelle der Kryptowährung mit ihrem endgültigen Ziel zu verbinden. Sie garantieren jedoch nicht, dass Gelder unauffindbar werden.
Analysten sagten, dass die relativ großen und gleichmäßig großen Ausgaben diesen Geldwäscheversuch leichter nachvollziehbar machen. Ermittler können die Transaktionen weiterhin überwachen, während die Bitcoins durch zusätzliche Adressen fließen.
Die Aktivität scheint auch getrennt von dem Sieben-Adressen-Cluster zu sein, das 1.159 BTC hält. Frühere Berichte ergaben, dass mehrere Angreifer dieselbe Wallet-Schwachstelle ausgenutzt haben könnten, was bedeutet, dass Bewegungen von einem Cluster nicht automatisch jedem COLDCARD-Diebstahl zugeordnet werden sollten.
Galaxy verfolgte zuvor 1.596 gestohlene BTC
Wie zuvor von crypto.news berichtet, bestätigte Galaxy Research, dass Angreifer bei drei Angriffswellen etwa 1.596 BTC von ungefähr 7.300 Adressen gestohlen haben. Es identifizierte auch 14 kleinere Vorfälle, die mit demselben Seed-Generierungsfehler zusammenhängen.
Eine vermutete vierte Welle könnte die Gesamtzahl auf etwa 2.055 BTC erhöhen, obwohl Galaxy diese zusätzlichen Verluste nicht durch ausreichende Opferberichte bestätigt hatte.
Die Schwachstelle resultierte aus einem Firmware-Fehler, der die Zufälligkeit schwächte, die zur Generierung von Wallet-Seed-Phrasen verwendet wurde. Angreifer konnten mögliche Seeds offline reproduzieren, ihre Bitcoin-Adressen ableiten und sie mit Adressen vergleichen, die auf der Blockchain sichtbar sind.
Sie benötigten keinen physischen Zugriff auf die Geräte, ihre PINs oder das Bitcoin-Netzwerk selbst. Das zugrunde liegende Bitcoin-Protokoll wurde nicht kompromittiert.
Coinkite hat korrigierte Firmware veröffentlicht, aber ein Update kann eine Seed-Phrase, die mit einer verwundbaren Version generiert wurde, nicht absichern. Betroffene Benutzer müssen eine völlig neue Seed erstellen und ihre Bitcoin auf Adressen übertragen, die daraus abgeleitet sind.
US-Ermittler überwachen markierte Adressen
Galaxy gab zuvor bekannt, dass es bestätigte Angreifer- und Opferadressen mit US-Strafverfolgungsbehörden, Börsen und Cyber-Ermittlungsgruppen geteilt hat. Die wachsende Adressliste könnte Behörden helfen, gestohlene Gelder zu identifizieren, wenn Angreifer versuchen, regulierte Dienste zu nutzen.
Dennoch bleibt die Wiederbeschaffung der Bitcoin ungewiss. Ein Angreifer könnte Gelder über mehrere Adressen, Mischer, dezentrale Plattformen oder Dienste außerhalb der US-Gerichtsbarkeit bewegen, bevor er versucht, sie umzuwandeln.
Die jüngste Mischer-Aktivität gibt Ermittlern eine neue Transaktionsspur, der sie folgen können, während die 1.159 BTC, die der größte bekannte Angreifer hält, weiterhin einer kontinuierlichen öffentlichen Überwachung ausgesetzt sind.
