Der Angreifer, der mit der dritten Angriffswelle auf Coldcard-Wallets in Verbindung gebracht wird, hat inzwischen 45 % der gestohlenen Coins bewegt, wie aus einem Bericht von Galaxy Research hervorgeht.
Das Unternehmen teilte mit, dass die Gelder entweder über THORChain zu Ethereum oder in Coinjoin-Transaktionen transferiert wurden, um die gestohlenen Vermögenswerte zu waschen. Während Welle 3 erstellte der Angreifer 293 Multisig-Tresore mit einem 2-aus-2-Signaturschema für die Coins der Opfer.
Beute aus Welle 3
Bei den ersten Bewegungen am 2. September wurden Gelder über THORChain zu Ethereum transferiert, während die jüngsten Aktivitäten in Coinjoin-Runden geflossen sind. Galaxy Research zufolge gibt der Betreiber systematisch den größten Anteil der Beute aus, ausgehend von der Rangfolge nach Höhe. Die Ränge 1 bis 11 wurden bereits bewegt.
Die nächsten 10 noch nicht bewegten Tresore enthalten 30,81 BTC, während die Ränge 61 bis 293 insgesamt 33,77 Einheiten umfassen. Aufgrund der jüngsten Transaktionen konnte Galaxy einen zuvor unbekannten Tresor identifizieren, der mit 58 Adressen verknüpft ist, die wahrscheinlich Coldcard-Opfern zuzuordnen sind.
Der Großteil der beim Coldcard-Exploit gestohlenen Gelder wurde noch nicht bewegt. Tatsächlich befinden sich über alle Wellen hinweg etwa 82 % weiterhin auf den vom Angreifer kontrollierten Adressen, auf denen die Coins ursprünglich gespeichert wurden. Die übrigen 18 % wurden bereits bewegt; die Transfers stehen offenbar im Zusammenhang mit dem Versuch, die Beute aus dem Exploit zu waschen.
Folgen
Der Angriff begann am 30. Juli 2026 und zielte auf Coldcard-Wallets mit einer Firmware-Schwachstelle ab, die jahrelang bestanden hatte. Das Problem ging auf ein Update vom März 2021 und einen Build-Fehler zurück. Dadurch verwendeten die Wallets einen schwachen Software-Zufallszahlengenerator anstelle ihrer hardwarebasierten Quelle. Dies schwächte die Seed-Sicherheit von den erwarteten 128 Bit auf nur noch 40 Bit bei älteren Geräten. Angreifer konnten die Schlüssel dann per Brute-Force knacken, ohne physisch auf die Wallets zugreifen zu müssen.
Die Bitcoin-Aktivität stieg nach dem Exploit sprunghaft an, als betroffene Nutzer ihre Bestände verschoben und zusammenlegten, um ihre Risiken zu begrenzen. Dadurch erreichte die Zahl der aktiven Adressen ein Achtmonatshoch. Der Vorfall hatte jedoch nur vernachlässigbare Auswirkungen auf den Kurs des Krypto-Assets. Stattdessen legte BTC eine beeindruckende Rally hin und näherte sich im vergangenen Monat der Marke von 82.000 US-Dollar.
Seitdem hat das Asset nachgegeben, wird zum Zeitpunkt der Erstellung dieses Textes jedoch nahe 79.500 US-Dollar gehandelt.
Quelle: CryptoPotato
