Die Angreifer hinter dem Coldcard-Exploit haben einen Teil ihrer Beute in Krypto-Mixer verschoben. Rund 64 Bitcoin im Wert von etwa 4,17 Millionen Dollar sowie 200 Ether im Wert von rund 380.000 Dollar wurden nach Angaben der Blockchain-Sicherheitsfirma CertiK an Wasabi und Tornado Cash gesendet.
Die Bitcoin verließen am Dienstag eine mit dem Angriff verbundene Adresse und gingen an Wasabi. Einen Tag später wurden die 200 Ether zu Tornado Cash transferiert. CertiK hält es für möglich, dass zumindest eine dieser Bewegungen von einem kleineren Nachahmer stammt und nicht von den ursprünglichen Angreifern.
Tipp der Redaktion: Grünes Licht für den Clarity Act? Weißes Haus schaltet sich in Verhandlungen ein
Mixer bündeln Transaktionen verschiedener Nutzer und erschweren dadurch die öffentliche Zuordnung zwischen Absender- und Empfängeradressen. Die Mittel verschwinden damit nicht von der Blockchain. Ihre weitere Spur wird jedoch deutlich schwieriger zu verfolgen, was auch die Chancen auf eine spätere Sicherstellung reduziert.
Mehrere Angriffswellen deuten auf Nachahmer hin
Der Coldcard-Vorfall zählt inzwischen zu den größten Kryptodiebstählen des Jahres. Nach Schätzungen von Galaxy Digital wurden in drei bestätigten Angriffswellen mindestens 100 Millionen Dollar in Bitcoin aus rund 7.300 Wallets abgezogen. Eine mögliche vierte Welle könnte den Gesamtschaden auf etwa 130 Millionen Dollar erhöhen.
Die Analysefirma identifizierte mindestens 15 mutmaßliche Angreifer, die dieselbe Schwachstelle ausnutzten. Zu einem ähnlichen Ergebnis kam TRM Labs. Unterschiede beim Aufbau der Transaktionen sprächen dafür, dass nicht eine einzelne Gruppe, sondern mehrere Akteure beteiligt waren.
Bislang haben viele dieser Adressen ihre Bestände allerdings kaum bewegt. Laut TRM Labs befindet sich der überwiegende Teil der gestohlenen Bitcoin weiterhin gebündelt in einer kleinen Zahl von Wallets unter Kontrolle der Angreifer. Größere Verschleierungsversuche seien nur vereinzelt zu beobachten.
Firmware-Fehler reduzierte Sicherheit der Seed-Erzeugung
Ausgangspunkt des Angriffs war offenbar ein Fehler in einer Coldcard-Firmware aus März 2021. Dieser schwächte bei bestimmten Wallets die Zufälligkeit der Seed-Erzeugung erheblich. Die effektive Schlüsselstärke sank laut TRM Labs von 128 auf nur noch 40 Bit.
Damit konnten private Schlüssel durch systematisches Ausprobieren berechnet werden, ohne dass die Täter physischen Zugriff auf die Geräte benötigten. Die Schwachstelle blieb über Jahre bestehen und wurde schließlich in mehreren Wellen ausgenutzt.
Der Fall zeigt zugleich, wie unterschiedlich sich gestohlene Kryptowerte nach einem Angriff bewegen. Während ein kleiner Teil bereits über Mixer geleitet wurde, bleibt die große Masse der Coldcard-Beute öffentlich sichtbar. Für Ermittler ist sie damit auffindbar, vorerst aber nicht erreichbar.
Lesetipp: VeChain will elf Ethereum-Upgrades in einem Hard Fork bündeln
Die Kriminalität nimmt im Kryptosektor weiter zu. In Großbritannien wurden zuletzt zwei Bitcoin-Millionäre für über 52 Stunden festgehalten, gefoltert und ein Lösegeld in Bitcoin gefordert. Wie wir zuletzt berichteten wurden die Täter letzte Woche verurteilt.
Darüber hinaus hat ein ehemaliger leitender FBI-Agent Seed-Phrasen aus internen Ermittlungsbeständen genutzt, um Kryptowährungen im zeitweisen Wert von rund einer Million US-Dollar auf eigene Wallets zu übertragen und teilweise im DeFi-Protokoll Suilend anzulegen. Er stellte sich anschließend jedoch selbst, wurde entlassen und festgenommen. Ein Großteil der Vermögenswerte wurde inzwischen auf Wallets der US-Regierung übertragen.
