Ermittler könnten US-Behörden Informationen gegeben haben, die es ermöglichen, einen Angreifer zu identifizieren, der für die erste Welle von Coldcard-Diebstählen verantwortlich ist, berichtete Bitcoin Magazine am 18. August.
Zusammenfassung
- Block führte die erste Coldcard-Abschöpfung auf ein bezahltes Blockchain-Datenkonto zurück, das während des Diebstahls verwendet wurde.
- Galaxy sagte, die erste Welle habe 1.082,65 BTC entfernt, wobei die zugehörigen Gelder danach unangetastet blieben.
- Keine FBI-Erklärung bestätigt die Identität eines Angreifers, eine Festnahme, Anklage, Beschlagnahme oder Wiederbeschaffung gestohlener Gelder.
- Mindestens 1.700 BTC wurden laut der neuesten öffentlichen Schätzung von Galaxy in mehreren Wellen gestohlen.
- Bestehende verwundbare Seeds bleiben nach Firmware-Updates unsicher und erfordern eine Migration in neu generierte Wallets.
Galaxy Researchs Alex Thorn sagte, die Identität des Angreifers der ersten Welle "könnte den Strafverfolgungsbehörden bekannt sein". Seine Aussage war vorsichtig, und das FBI hat nicht öffentlich bestätigt, einen Verdächtigen identifiziert, einen Fall eröffnet, eine Festnahme vorgenommen oder gestohlene Bitcoins wiederbeschafft zu haben.
Die erste Welle entfernte 1.082,65 BTC aus Wallets, die mit verwundbarer Coldcard-Firmware generiert wurden. Beim aktuellen Bitcoin-Preis von etwa 64.000 $ wären diese Münzen ungefähr 69 Millionen $ wert, nicht 11,8 Millionen $.
Block fand eine Offchain-Spur von der ersten Abschöpfung
Block-Engineering-Leiter Clay Garrett sagte, Ermittler hätten ein ungewöhnliches Muster in den Onchain-Abschöpfungen des Angreifers gefunden. Der Betreiber habe angeblich ein bezahltes Konto bei einem unbenannten Blockchain-Datenanbieter verwendet, um Quelladressen abzufragen und damit verbundene Aktivitäten durchzuführen.
Das Konto könnte Zahlungs-, Zugriffs- oder Abonnentendaten enthalten. Es gibt jedoch keine öffentlichen Beweise dafür, welche Aufzeichnungen aufbewahrt wurden, wer das Konto kontrollierte oder ob der Dienst genaue Identifikationsinformationen erhielt.
Block sagte auch, es habe keine Beweise dafür gefunden, dass der Anbieter wissentlich bei dem Diebstahl geholfen habe. Das Unternehmen habe offenbar gewöhnliche Dienste bereitgestellt, ohne zu wissen, wie die Informationen verwendet würden.
FBI-Identifizierung bleibt eine unbestätigte Möglichkeit
Der Bericht von Bitcoin Magazine verknüpfte die Ermittlungsspur mit dem FBI, aber keine FBI-Erklärung bestätigt die Behauptung. Es wurde keine Strafanzeige, Anklageschrift, Beschlagnahme oder Einziehungsantrag in den öffentlichen Aufzeichnungen gefunden.
Thorns Formulierung ist daher wichtig. Eine Identität, die "bekannt sein könnte", ist nicht dasselbe wie ein verifizierter Verdächtiger oder ein angeklagter Angeklagter. Die Ermittler müssen weiterhin feststellen, wer das Konto betrieben hat, wer die Empfängeradressen kontrollierte und ob die Beweise strafrechtliche Anklagen stützen.
Die Gelder der ersten Welle bleiben an den zugehörigen Adressen sichtbar. Wie crypto.news bereits berichtete, ist das unbewegte Guthaben des größten Angreifers nicht in eine bekannte Börse oder einen Mischer gelangt.
Diese Münzen sind nicht eingefroren. Bitcoin-Transaktionen können auf Protokollebene nicht rückgängig gemacht oder blockiert werden. Eine Wiederbeschaffung würde die Kontrolle über die privaten Schlüssel, die freiwillige Rückgabe oder eine spätere Übertragung über einen Vermittler erfordern, der einer rechtmäßigen Beschlagnahmeanordnung nachkommen kann.
Coldcard-Verluste gehen über einen einzelnen Angreifer hinaus
Die neueste öffentliche Forschungsseite von Galaxy listet Verluste von mindestens 1.700 BTC über mehrere Wellen auf. Andere Gesamtsummen bleiben höher, da Forscher unterschiedliche Adresscluster, Bestätigungsstandards und Opferberichte verwenden.
Spätere Diebstahlswellen zeigten unterschiedliche Transaktionsmuster. Forscher haben daher davor gewarnt, dass mehr als ein Akteur den schwachen Seed-Raum ausgenutzt haben könnte, nachdem Informationen über den Fehler öffentlich wurden.
Diese Unterscheidung bedeutet, dass die Identifizierung des ersten Operators nicht unbedingt jeden Diebstahl aufklären würde. Galaxy hat verdächtige Adressen an Ermittler, Börsen und Analysefirmen weitergegeben, aber keine Behörde hat eine Wiederbeschaffung angekündigt.
In verwandter Berichterstattung stellte die frühere technische Überprüfung von crypto.news fest, dass der Vorfall eine schwache Seed-Generierung betraf und nicht einen Kompromiss des Bitcoin-Protokolls oder physischen Zugriff auf Geräte.
Gefährdete Benutzer müssen ihre Gelder dennoch transferieren
Die Warnung von Coinkite besagt, dass betroffene Mk2- und Mk3-Firmware ab Version 4.0.1 Seeds mit unzureichender Entropie generierte. Auch Seeds, die auf bestimmten Mk4-, Mk5- und Q-Versionen erstellt wurden, waren exponiert, obwohl ihre Entropie-Reduktion weniger schwerwiegend war.
Die korrigierte Firmware verhindert denselben Defekt bei der Generierung neuer Seeds. Die Installation eines Updates repariert jedoch keinen bestehenden anfälligen Seed. Benutzer müssen zuerst aktualisieren, einen völlig neuen Seed erstellen und ihre Gelder nach der Verifizierung einer Testtransaktion transferieren.
Der aktuelle Status von Coinkite besagt, dass die formale technische Nachbesprechung noch läuft. Es wird auch erwähnt, dass gezielte unabhängige Prüfungen stattgefunden haben, aber nicht belegen, dass jede korrigierte Firmware-Binärdatei einer vollständigen Prüfung unterzogen wurde.
Der Vorfall hat Forderungen nach unabhängigen Hardware-Prüfungen ausgelöst. Die unmittelbaren Fragen betreffen nun, ob die Behörden das bezahlte Konto mit einer Person in Verbindung bringen können, ob die Gelder der ersten Welle bewegt werden und ob Gerichtsakten schließlich eine Untersuchung bestätigen.
