Galaxy identifiziert 15 Angreifer bei Coldcard-Exploit – Schäden könnten sich auf fast 130 Mio. US-Dollar belaufen

Galaxy Digital geht nach neuen Opfermeldungen von mindestens 15 voneinander unabhängigen Angreifern aus, die eine Schwachstelle bei Coldcard ausgenutzt haben. Alex Thorn erklärte, erst die individuellen Hinweise hätten es ermöglicht, einzelne Tätergruppen zuzuordnen – anders als bei einem zentralen Börsen-Hack mit einem klaren Einbruchspunkt. Die neuen Informationen zeichnen das Bild einer zersplitterten Kampagne statt einer koordinierten Diebstahlsoperation. Wie groß die Dunkelziffer sein kann, zeigt ein Fall aus den aktuellen Meldungen: Ein Opfer berichtete von einem Verlust von weniger als 1 BTC. Diese Anzeige half den Analysten, einen Angriff zu identifizieren, bei dem insgesamt 12 BTC aus 126 Adressen abgezogen wurden. Galaxy beziffert die bestätigten Verluste mittlerweile auf rund 100 Mio. US-Dollar über drei Angriffswellen. Zusätzlich sieht das Unternehmen Hinweise auf eine vierte Welle, die den Gesamtschaden in Bitcoin auf etwa 130 Mio. US-Dollar treiben könnte. Die wachsende Schätzung deutet darauf hin, dass der Ablauf des Exploits weiterhin rekonstruiert wird und das Ausmaß noch nicht vollständig erfasst ist. Bei kompromittierten Wallet-Seeds können verschiedene Akteure unabhängig voneinander zuschlagen, was Zuordnung, Opferzählung und Gesamtschadensberechnung erheblich erschwert. Parallel flammt die Debatte auf, ob günstigere KI-Tests die Schwachstelle früher hätten aufdecken können. Dragonfly-Partner Haseeb Qureshi vertrat die These, rund 2 US-Dollar an KI-"Hardening" hätten den Vorfall verhindern können, und verwies auf Tests, in denen Modelle die Verwundbarkeit angeblich innerhalb weniger Minuten reproduzierten. Diese Aussage bleibt umstritten, weil die Schwachstelle bei mehreren Demonstrationen bereits öffentlich bekannt war. Ein Forscher kritisierte fehlende Blind-Tests, unzureichend dokumentierte Methoden und fehlende Analysen zu Fehlalarmen. Zugleich soll ein Open-Source-Modell das Problem in 20 Minuten ohne Webzugriff gefunden haben, was die Diskussion über realistische Früherkennung vor einer Offenlegung zusätzlich anheizt. Castle Labs erklärte, der Bug habe die Entropie des Coldcard-Private-Keys auf etwa 40 Bit reduziert – deutlich unter den 128 Bit, die typischerweise mit einer Standard-12-Wort-Seed-Phrase verbunden sind. Dieser Einbruch habe Brute-Force-Angriffe wesentlich erleichtert und könnte erklären, warum mehrere Angreifer parallel erfolgreich waren. Der Vorfall legt einen Test- und Qualitätsmangel offen: Das Sicherheitsversprechen einer Hardware-Wallet hing von Entropie ab, die durch die Firmware unbemerkt geschwächt wurde. Mit sinkenden Kosten für KI-gestützte Code-Reviews – für Verteidiger wie auch für Kriminelle – bleibt die zentrale Frage, ob Wallet-Hersteller Releases ausreichend härten können, bevor automatisierte Werkzeuge schwer erkennbare Implementierungsfehler in skalierbare Diebstahlsgelegenheiten aus ruhenden Bitcoin-Adressen verwandeln.