Eine vermutete vierte Welle von Angriffen auf verwundbare, mit Coldcard generierte Bitcoin-Wallets könnte bereits im Gange sein, wobei der Blockchain-Forscher Alex Thorn am 3. August warnte, dass fast 449 BTC innerhalb von etwa zweieinhalb Stunden von Hunderten von Adressen abgezogen wurden.
Die neuesten Aktivitäten, die noch im Gange waren, als Thorn postete, folgen drei früheren Wellen, die Forscher mit derselben Schwachstelle in der Entropie in Verbindung gebracht haben, die bestimmte Coldcard-Firmware-Versionen betrifft.
Neue Sweeps gehen weiter
Thorn sagte, seine neueste Analyse habe 218 Transaktionen identifiziert, die 462 verdächtige Opferadressen zwischen den Bitcoin-Blöcken 960778 und 969792 betrafen. Die Transaktionen bewegten 388,93 BTC, die zum aktuellen Kurs etwa 24,4 Millionen Dollar wert sind, in 216 Zieladressen, von denen fast alle gerade erstellt worden waren und keine vorherige Transaktionshistorie hatten.
„Diese sind WAHRSCHEINLICH Coldcard-Opfer – sie entsprechen der Form von verwundbaren Coldcard UTXOs und das erhöhte Transaktionsmuster gibt mir hohe Zuversicht, dass sie eine weitere Welle von Angriffen sind“, schrieb er.
Der Analyst betonte, dass er noch keine direkte Bestätigung von Opfern hatte, weshalb er vorsichtshalber absichtlich „wahrscheinlich“ verwendet hatte. Er korrigierte auch schnell die Zieladresse-Liste und entfernte sechs Adressen, die, wie er sagte, bereits BTC empfangen und ausgegeben hatten, lange bevor der Coldcard-Vorfall am 30. Juli begann. Die sechs machten etwas mehr als 5 BTC des zuvor berechneten Betrags aus.
Darüber hinaus entfernte Thorn 89 Multisig-Adressen aus seiner Liste, da keine in den ersten drei Wellen erschienen war, wodurch der verbleibende Kern auf 709 Adressen und 448,73 ($28,1 Millionen) aus sowohl bestätigten als auch noch ausstehenden Transaktionen reduziert wurde.
Er forderte die Benutzer auf, ihre Gelder sofort von betroffenen Coldcard-Geräten abzuziehen und höhere Transaktionsgebühren zu verwenden, und warnte auch, dass einige der ausstehenden Transaktionen Replace-by-Fee oder RBF aktiviert hatten, was bedeutet, dass Opfer, deren Transaktionen noch im Mempool lagen, eine sehr kurze Chance haben könnten, den Angreifer zu überbieten und ihre Gelder vor der Bestätigung zurückzuerhalten.
Frühere Wellen noch ungenutzt
Galaxy Research hat geschätzt, dass die ersten drei bestätigten Wellen 1.367 BTC, die etwa 85,7 Millionen Dollar wert sind, von 4.585 Bitcoin-Adressen abgezogen haben. Laut der Firma wurden diese Gelder nicht ausgegeben und befinden sich weiterhin in von Angreifern kontrollierten Wallets, was auf eine koordinierte Operation und nicht auf opportunistischen Diebstahl hindeutet.
Allerdings ist nicht jeder gestohlene BTC an Ort und Stelle geblieben. Ein Opfer, das fast 30 BTC hielt, hatte 17 davon über ThorChain in das Duel-Online-Casino geleitet, das dem Opfer angeblich sagte, es solle einen Polizeibericht erstatten, bevor es eine Sperrung in Betracht ziehen könne.
Der Angriff resultiert aus einer Schwachstelle, die Seeds betrifft, die auf bestimmten Coldcard-Firmware-Versionen generiert wurden, die nach März 2021 veröffentlicht wurden. Coinkite, der Hersteller der Coldcard-Wallet, bestätigte, dass Seeds, die auf betroffenen Mk3-, Mk4-, Mk5- und Q-Geräten erstellt wurden, gefährdet sind, und obwohl neuere gepatchte Firmware das Problem für zukünftige Seeds behoben hat, kann sie alte nicht sichern. Es wurde auch gesagt, dass alle verbleibenden anfälligen Bestände zerstört, die Lieferungen gestoppt und mit Kunden sowie Strafverfolgungsbehörden zusammengearbeitet wird, während sie versuchen, die Verantwortlichen für den Diebstahl zu identifizieren.
Darüber hinaus riet das Unternehmen den Nutzern, sofort auf einen neuen Seed auf einem nicht betroffenen Gerät zu migrieren, wobei Thorn darauf hinwies, dass jede einzelne Coldcard-Adresse mit einer Signatur, die unter den anfälligen Bedingungen generiert wurde, letztendlich leergeräumt wird.
Quelle: CryptoPotato
