Die Ermittlungen zum Coldcard-Hack haben möglicherweise eine konkrete Spur zum Täter hinter der ersten Angriffswelle ergeben. Block verknüpfte die On-Chain-Aktivitäten mit einem kostenpflichtigen Konto bei einem bekannten Blockchain-Datenanbieter und übergab die Informationen an die zuständigen Behörden.
Ob der Täter bereits identifiziert wurde, ist jedoch offen. Weder das FBI noch eine andere Strafverfolgungsbehörde haben dies bislang öffentlich bestätigt.
Block entdeckt Spur im Coldcard-Hack
Clay Garrett, Engineering Lead für die Bitcoin-Wallet Bitkey, berichtete auf X von einem ungewöhnlichen Muster während der ersten Angriffe. Der Angreifer habe ein bezahltes Konto bei einem nicht genannten Blockchain-Dienstleister verwendet, um Quelladressen abzufragen und weitere Schritte auszuführen.
Tipp der Redaktion: 35-Billionen-Dollar-Bank setzt auf Bitcoin: Citi kündigt BTC-Custody an
Der US-Fintech-Konzern Block, zu dem unter anderem Square, Cash App und die Bitcoin-Wallet Bitkey gehören, verknüpfte die On-Chain-Aktivitäten mit einem kostenpflichtigen Konto bei einem bekannten Blockchain-Datenanbieter. Garrett schrieb:
„Die internen Protokolle des Anbieters stimmten mit außergewöhnlicher Präzision mit dem vermuteten Ablauf überein.“
Hinweise auf eine wissentlich geleistete Unterstützung durch den Dienstleister gebe es nicht.
Galaxy-Research-Chef Alex Thorn erklärte anschließend, die Identität des Angreifers aus der ersten Welle könnte den Strafverfolgungsbehörden bekannt sein. Ein Bericht von Bitcoin Magazine nennt das FBI, liefert aber keine Bestätigung der US-Bundespolizei.
Die erste Angriffswelle begann am 30. Juli. Innerhalb von 41 Minuten wurden 1.082,65 BTC aus 1.196 Wallets entwendet. Die Bitcoin liegen laut dem Bericht weiterhin unbewegt in wenigen Hackeradressen, was eine spätere Beschlagnahme grundsätzlich denkbar macht.
Galaxy Research bestätigte bis zum 14. August über Kontakte zu 190 Betroffenen den Diebstahl von 1.778,84 BTC im Wert von 112,7 Millionen US-Dollar. Einschließlich weiterer möglicher Spuren und einer unbestätigten vierten Welle könnte die Summe 2.417,35 BTC erreichen. Neben drei großen Wellen identifizierte Galaxy mindestens 33 weitere Angriffsmuster und geht von mehreren Tätern aus.
Firmware-Fehler war die Ursache
Ein seit 2021 enthaltener Firmware-Fehler leitete die Seed-Erzeugung nicht wie vorgesehen an den Hardware-Zufallszahlengenerator, sondern an einen schwachen Softwaregenerator weiter.
Die effektive Entropie sank je nach Modell von vorgesehenen 128 Bit auf ungefähr 40 beziehungsweise 72 Bit. Angreifer konnten dadurch mögliche Seeds offline berechnen und anschließend prüfen, auf welchen Adressen Bitcoin lagen.
Coinkite hat inzwischen eine korrigierte Firmware veröffentlicht. Ein Update repariert allerdings den Seed nicht, der bereits mit einer verwundbaren Version erzeugt wurde.
Betroffene Nutzer müssen daher dringend einen neuen Seed mit korrigierter Software erstellen und ihre Bitcoin auf neue Adressen übertragen. Solange Guthaben auf einem schwach erzeugten Seed liegen, können Angreifer die BTC stehlen.
