Die finanziellen Auswirkungen der Coldcard-Hardware-Wallet-Schwachstelle wachsen weiter, wobei Galaxy Research nun schätzt, dass Angreifer durch eine Reihe koordinierter Diebstähle 1.596 Bitcoin (BTC) im Wert von mehr als 100 Millionen Dollar gestohlen haben. Forscher sagen, die Kampagne sei weiterhin aktiv und warnen, dass die Gesamtverluste weiter steigen könnten, falls eine vermutete vierte Angriffswelle bestätigt wird.
Laut Galaxy Research basiert die bestätigte Zahl auf Blockchain-Analysen und Berichten betroffener Nutzer. Die Ermittler sagen, sie hätten drei große Angriffswellen und 14 kleinere Vorfälle identifiziert, die etwa 7.300 Wallet-Adressen betreffen. Das Unternehmen beschreibt diese Ergebnisse als “hohe Zuversicht”, weist jedoch darauf hin, dass die Untersuchung weiterhin andauert und weitere Opfer sich noch melden könnten.
Forscher überwachen außerdem einen separaten Cluster verdächtiger Transaktionen, von denen sie glauben, dass es sich um einen vierten organisierten Angriff handelt. Diese Aktivität wurde bisher nicht durch Opferberichte bestätigt, weshalb Galaxy sie absichtlich von seiner offiziellen Verlustschätzung ausgeschlossen hat. Sollte sich die zusätzliche Aktivität als Teil derselben Kampagne herausstellen, könnte der gestohlene Gesamtbetrag auf etwa 2.055 BTC steigen, im Wert von etwa 130 Millionen Dollar basierend auf aktuellen Marktpreisen.
Im Gegensatz zu den früheren Angriffen wurde die vermutete vierte Welle entdeckt, während sie sich noch entfaltete. Alex Thorn, Leiter der Forschung bei Galaxy, sagte, Analysten hätten innerhalb kurzer Zeit Hunderte von Bitcoin-Überweisungen beobachtet, ein Muster, das sich deutlich von der normalen Netzwerkaktivität unterschied. Da viele der Transaktionen eine Zeit lang unbestätigt blieben, hatten einige Opfer möglicherweise eine kurze Gelegenheit, ihre Gelder durch die Bitcoin-Funktion “Replace-by-Fee” (RBF) zurückzugewinnen, um konkurrierende Transaktionen mit höheren Gebühren einzureichen, bevor die Überweisungen der Angreifer abgeschlossen wurden.
Galaxy glaubt, dass die Kampagne sich möglicherweise über einen einzelnen Bedrohungsakteur hinaus ausweitet. Während jeder der anfänglichen groß angelegten Diebstähle offenbar von einem Betreiber durchgeführt wurde, deuten die kleineren Vorfälle darauf hin, dass mehrere Angreifer nun dieselbe öffentlich bekannte Schwäche ausnutzen. Das Unternehmen sagte, 73 Opfer hätten die Ermittlungen bereits unterstützt, indem sie Informationen bereitgestellt haben, die zur Rückverfolgung gestohlener Gelder geholfen haben.
Eine ermutigende Erkenntnis ist, dass der Großteil der gestohlenen Kryptowährung noch nicht transportiert wurde. Galaxy schätzt, dass etwa 90 % der genommenen Bitcoins sich in von Angreifern kontrollierten Adressen befinden, wobei alle während der ersten drei bestätigten Angriffswellen gestohlenen Coins noch in Wallets auf der Blockchain sichtbar sind. Da die Gelder weiterhin nachverfolgbar sind, teilte das Unternehmen mit, dass es Hunderte mutmaßlicher Angreifer-Wallet-Adressen mit US-Strafverfolgungsbehörden, Kryptobörsen und Blockchain-Ermittlungsfirmen geteilt hat.
Der Vorfall hat auch die Diskussion über künstliche Intelligenz und Softwaresicherheit neu entfacht. Coinkite, der Hersteller von Coldcard, hat angedeutet, dass Angreifer KI genutzt haben könnten, um den Firmware-Fehler im Open-Source-Code zu identifizieren, wobei das Unternehmen betonte, dass dies eher eine Annahme als eine bestätigte Tatsache sei. Galaxy erklärte ebenfalls, dass die automatisierte Natur der Diebstähle darauf hindeutet, dass große Sprachmodelle den Angreifern geholfen haben könnten, diese Einschätzung aber auch als fundierte Meinung und nicht als verifizierte Beweise bezeichnete.
Sowohl Galaxy Research als auch Coinkite fordern weiterhin Nutzer mit potenziell betroffenen Coldcard-Wallets auf, ihre Bitcoin sofort zu migrieren. Forscher betonen, dass die Installation aktualisierter Firmware allein Wallets nicht sichert, die mit verwundbaren Recovery-Seeds erstellt wurden. Stattdessen sollten Nutzer eine komplett neue Seed-Phrase auf gepatchter Firmware erstellen und ihre Gelder so schnell wie möglich in die neu erstellte Wallet überweisen.