Kurzfassung

  • Der Coldcard-Exploit ist weiterhin aktiv; Galaxy Research verfolgt nun etwa 88,6 Millionen US-Dollar, die in drei Wellen über 4.585 Adressen gestohlen wurden.
  • Galaxys Alex Thorn beschrieb die Abräumaktionen als gezielt und wahrscheinlich von einem großen Sprachmodell orchestriert und warnte, dass jede Single-Sig-Coldcard-Adresse, die nach dem Firmware-Fehler vom März 2021 erstellt wurde, letztendlich geleert wird.
  • Der Vorfall hat eine ungewöhnliche Umkehrung des Ethos „Nicht deine Schlüssel, nicht deine Münzen“ ausgelöst, da Nutzer Bitcoin zurück an Börsen transferieren.

Der Diebstahl von Bitcoin aus kompromittierten Coldcard-Hardware-Wallets ist weiterhin im Gange; Forscher verfolgen nun Verluste von rund 88 Millionen US-Dollar und warnen, dass jedes verwundbare Gerät letztendlich geleert wird.

Galaxy Research teilte am Samstag mit, dass es eine dritte Diebstahlswelle identifiziert hat, bei der 207,73 BTC abgezogen wurden, wodurch die beobachtete Gesamtsumme auf etwa 1.367 BTC – rund 88,6 Millionen US-Dollar – über 4.585 Adressen steigt. Das Unternehmen bezeichnete den Exploit als andauernd und forderte alle, die Single-Signature-Gelder auf einer Coldcard halten, auf, diese sofort zu transferieren. Galaxy gab an, etwa 600 mutmaßliche Angreiferadressen an Bundesermittler, Compliance-Firmen und branchenübergreifende Cyber-Ermittler gemeldet zu haben, und dankte Opfern, die Transaktionsdetails teilten, um die On-Chain-Muster zu kartieren.

„Ich untersuche weiterhin und füge unserer Untersuchungsdatenbank neue Coldcard-Opfer- und Angreiferadressen hinzu“, schrieb Galaxys Forschungsleiter Alex Thorn auf X. „Der Angriff ist noch im Gange – transferieren Sie Ihre Gelder sofort von Coldcard-generierten Adressen, falls Sie dies noch nicht getan haben.“

Der Fehler, wie Decryptzuvor berichtete, rührt von einem Firmware-Build-Fehler vom März 2021 auf Coinkites Geräten her, der dazu führte, dass Seed-Phrasen mit viel zu wenig Zufälligkeit generiert wurden, wodurch private Schlüssel erratbar wurden. Thorn schrieb, dass die Abräumaktionen gezielt und programmatisch wirken, wahrscheinlich orchestriert mit einem großen Sprachmodell, und warnte, dass jede Single-Sig-Coldcard-Adresse, die nach diesem Update von 2021 erstellt wurde, letztendlich geleert wird – es sei nur eine Frage der Zeit.

Thorn bemerkte, dass die gestohlenen Münzen jahrelang unberührt geblieben waren, bevor sie genommen wurden – eine durchschnittliche Ruhezeit von 3,18 Jahren – was unterstreicht, dass die Opfer langfristige Halter waren. Die Gelder aus den drei dokumentierten Wellen bleiben auf Angreiferadressen geparkt und haben sich nicht bewegt.

Die Folgen haben bei betroffenen Nutzern eine panische Reaktion ausgelöst, wobei Sicherheitsexperten zur Vorsicht beim Transfer von Geldern an neue Adressen raten. Viele der betroffenen Nutzer beeilen sich, Bitcoin von der Selbstverwahrung abzuziehen und wieder auf zentralisierte Krypto-Börsen wie Coinbase oder Binance oder auf frisch generierte Adressen zu verschieben – eine Umkehrung des üblichen Ethos der Branche: "Nicht deine Schlüssel, nicht deine Münzen".

Für einige kamen die Warnungen zu spät. Der kanadische Coach Jonathan Goodman sagte in einem Beitrag auf X, dass am 29. Juli innerhalb von sieben Minuten 18,25 BTC im Wert von etwa 1,6 Millionen kanadischen Dollar aus seinen Wallets abgezogen wurden, obwohl seine Schlüssel in einem Schließfach lagen, das nie mit dem Internet verbunden war. "Vielleicht ist das Schwierigste daran, dass ich alles richtig gemacht habe", schrieb er und fügte hinzu, dass er Anzeige bei der Polizei und der Ontario Securities Commission erstattet.