Coldcard offenbar von vierter Angriffswelle betroffen – Verluste steigen weiter

Der Leiter von Galaxy Research, Alex Thorn, sieht Hinweise auf eine vierte Angriffswelle gegen Coldcard am 3. August. Auf Basis von Blockchain-Analysen schätzt er, dass Angreifer 448,7 BTC aus 709 Wallets mutmaßlicher Opfer abgezogen haben. Geräteprotokolle lagen seinen Angaben zufolge nicht zugrunde; die betroffenen Adressen seien "wahrscheinlich Coldcard-Opfer". Thorn zufolge passen UTXO-Struktur und Transaktionsmuster zu dem bekannten Profil verwundbarer Wallets. Eine erste Auswertung von Galaxy auf Grundlage der Blöcke 960.778 bis 960.792 identifizierte 218 Transaktionen mit 388,9 BTC sowie 462 potenzielle Opferadressen. In einer aktualisierten Schätzung weitet Thorn die Zahlen auf Hunderte Transaktionen aus, insgesamt 448,7 BTC über 709 potenzielle Opferadressen. Auf X warnte Thorn, es handele sich wahrscheinlich um eine "vierte organisierte Welle", und verwies auf ähnliche Transaktionen, die noch im Bitcoin-Mempool auf Bestätigung warten. Bereits bestätigte Transaktionen würden zudem auf "RBF opt-in" (Replace-by-Fee) hindeuten. Galaxy habe in diesem Zeitraum 13,8 "Sweeps" pro Block gemessen – ein Anstieg um den Faktor 45 gegenüber 0,3 Sweeps pro Block in einer Kontrollphase vor dem Vorfall. Die abgezogenen Mittel seien an eine neue Adresse geschickt worden, nicht an eine gemeinsam genutzte Sammel-Wallet. Teile der Beute seien anschließend weiter auf neue Adressen verteilt worden, was die Nachverfolgung erschwere. Galaxy hatte zuvor bereits drei Angriffswellen kartiert, bei denen 1.367,05 BTC aus 4.585 Adressen abgezogen worden sein sollen. Die erste Welle habe 1.082,05 BTC über 1.196 Adressen umfasst. Mit der nun vermuteten vierten Welle läge die Gesamtsumme bei 1.815,75 BTC aus 5.294 Adressen. Eine offizielle Bestätigung durch Behörden, Coinkite oder die Wallet-Inhaber steht aus. Unklar ist auch, ob alle vier Wellen auf denselben Akteur zurückgehen. Thorn weist zudem auf eine mögliche "Notausstieg"-Option hin: Solange betroffene Transaktionen unbestätigt im Mempool liegen und als opt-in RBF markiert sind, können sie laut Bitcoin-Core-Dokumentation durch eine konkurrierende Transaktion mit höherer Gebühr ersetzt werden. Wer noch die Kontrolle über den betroffenen Schlüssel besitzt, könnte die Mittel so an eine sichere Wallet umleiten. Sobald eine Transaktion in einen Block aufgenommen wurde, ist ein Ersatz nicht mehr möglich; zudem gibt es keine Erfolgsgarantie. Hintergrund der Schwachstelle ist laut Bericht ein Integrationsfehler beim Zufallszahlengenerator (RNG), der bei einer Firmware-Änderung im März 2021 entstanden sein soll. Coinkite schätzt, dass betroffene Seeds der Mk2- und Mk3-Modelle nur rund 40 Bit effektive Entropie erreichen. Seeds, die auf betroffenen Mk4-, Mk5- und Q-Versionen erzeugt wurden, hätten 72 Bit statt 128. Ein Engineering-Team von Block fand demnach, dass die Firmware statt des Hardware-RNG auf einen deterministischen MicroPython-Fallback zurückgriff. Das Block-Team betonte, ohne vollständige empirische Tests lasse sich die praktische Ausnutzbarkeit nicht abschließend bestätigen. Coinkite hat Updates bereitgestellt: Version 4.2.0 für Mk2 und Mk3, 5.6.0 für Mk4 und Mk5, 1.5.0Q für Q sowie 6.6.0X oder 6.6.0QX für Edge-Releases. Ein Firmware-Update allein beseitigt die Schwachstelle jedoch nicht vollständig. Nach dem Update müssen Nutzer einen neuen Seed generieren, die Empfangsadresse verifizieren, anschließend eine Testtransaktion senden und erst danach den vollständigen Bestand migrieren. Coinkite ergänzte, Seeds, die mit mindestens 50 fairen, privaten Würfelwürfen erzeugt wurden, gelten nicht als gefährdet. Eine einzigartige BIP39-Passphrase könne als zweite Verteidigungslinie dienen; empfohlen wird dennoch die vollständige Migration. Der Hinweis gilt nicht für TAPSIGNER, OPENDIME und SATSCARD, da diese getrennte Codebasen verwenden. Hinweis: Dieser Beitrag dient ausschließlich Informationszwecken und stellt keine Rechts-, Steuer-, Anlage- oder Finanzberatung dar. Der Artikel erschien ursprünglich unter dem Titel "Coldcard Hit By Suspected Fourth Attack Wave As Losses Mount" auf Crypto Breaking News.