Ein Hacker, der mit der dritten Welle von Coldcard-Wallet-Diebstählen in Verbindung gebracht wird, begann am 3. September, gestohlene Bitcoins über THORChain in Ether umzuwandeln, so Alex Thorn von Galaxy Research.
Zusammenfassung
- Der Angreifer der dritten Welle bewegte etwa 10 % der gestohlenen Bitcoins über THORChain in Ether.
- Forscher verfolgten die Tauschvorgänge zu einer neuen Ethereum-Adresse und teilten die Details mit relevanten Behörden.
- Etwa 90 % der Gelder der dritten Welle blieben unberührt, als Galaxy-Forscher Thorn die Transfers meldete.
- THORChain erstattete einige Tauschversuche wiederholt zurück, was den Angreifer dazu veranlasste, Transaktionen erneut einzureichen, berichtete Thorn am Mittwoch.
- Coinkite sagt, dass betroffene Seeds migriert werden müssen, da die Installation korrigierter Firmware bestehende Wallet-Anmeldeinformationen nicht reparieren kann.
Die Transaktionen bewegten etwa 10 % der Bitcoins, die dieser Angreifer kontrollierte, sagte Thorn . Ungefähr 90 % verblieben an ihren ursprünglichen Adressen, als er das Update veröffentlichte.
Forscher verfolgten die Tauschvorgänge über THORChain zu einer neu identifizierten Ethereum-Adresse. Thorn sagte, er habe die Adresse mit Strafverfolgungsbehörden, Krypto-Unternehmen und anderen Organisationen geteilt, die die gestohlenen Vermögenswerte überwachen.
Coldcard-Hacker stößt auf fehlgeschlagene THORChain-Tauschvorgänge
THORChain ermöglicht es Benutzern, native Vermögenswerte über Blockchains hinweg auszutauschen, ohne Gelder bei einer zentralisierten Börse zu hinterlegen. Das Protokoll kann daher natives Bitcoin in Ether umwandeln, ohne auf eine konventionelle Verwahrungsplattform angewiesen zu sein.
Allerdings war nicht jede Transaktion erfolgreich. Thorn sagte, der Hacker scheine technische Probleme zu haben, während er versuchte, die Tauschvorgänge zu verarbeiten.
„Der Hacker scheint Probleme zu haben, alle Gelder über THORChain zu tauschen – sie werden ständig zurückerstattet und er versucht es immer wieder“, sagte Thorn.
Die Ursache der Rückerstattungen wurde nicht sofort bestätigt. Mögliche Erklärungen umfassen Liquiditätsbeschränkungen, Transaktionseinstellungen oder Protokollsicherheitsvorkehrungen, aber keine verifizierte technische Bewertung hatte den Grund festgestellt.
Die Bewegung stellte die erste erkannte Onchain-Übertragung von den ursprünglichen Adressen dar, die mit den ersten drei Angriffswellen verbunden sind, so Thorn. Analysten werden nun überwachen, ob das resultierende ETH zu zentralisierten Börsen, Brücken oder Datenschutzdiensten wandert.
Galaxy verfolgte 1.789 Bitcoin zu den Diebstählen
Galaxy Research führte zuvor den Verlust von 1.789,28 BTC über 8.865 Adressen auf die Coldcard-Schwachstelle zurück. Die Bitcoins waren zum Zeitpunkt des Diebstahls etwa 114,7 Millionen US-Dollar wert.
Wie crypto.news bereits berichtete, waren etwa 87 % der identifizierten Bitcoins unberührt Stand 25. August. Die Schätzung umfasste Gelder, die mit mehreren Angreifern und Angriffswellen verbunden sind, nicht nur die Wallet, die jetzt THORChain nutzt.
Galaxys Zahlen stützten sich teilweise auf 221 Opferberichte, die 790,72 BTC abdeckten. Die Onchain-Analyse identifizierte zusätzliche betroffene Adressen über die direkt von Kunden gemeldeten hinaus.
Die Gesamtsumme bleibt eine Schätzung, da Forscher mehrere Angreifermuster mit unterschiedlichem Vertrauensgrad identifiziert haben. Galaxy hat seine Hochvertrauens-Zuordnung von anderen Adressen unterschieden, die ebenfalls mit der Schwachstelle in Verbindung stehen könnten.
Frühere Angreifer nutzten Kryptowährungs-Mixer
Die jüngsten THORChain-Swaps sind getrennt von früheren Geldwäscheaktivitäten zu sehen, die anderen Angreifern zugeschrieben werden. CertiK berichtete im August, dass Wallets, die mit dem breiteren Vorfall in Verbindung stehen, 64 BTC und 200 ETH an Kryptowährungs-Mixer gesendet haben.
In verwandter Berichterstattung fand crypto.news heraus, dass ein Angreifer 1.159 BTC behielt, während ein anderer begann, kleinere Beträge zu mischen. Die unterschiedlichen Bewegungen deuten darauf hin, dass mehrere Parteien dieselbe Schwachstelle ausgenutzt haben könnten.
Mixer und Cross-Chain-Swaps können die Verfolgung erschweren, machen Gelder jedoch nicht automatisch unauffindbar. Ermittler können Transfers weiterhin verfolgen, wenn Vermögenswerte in öffentliche Protokolle ein- und ausgehen.
Zentralisierte Börsen bleiben potenzielle Interventionspunkte, da sie Identitäts- und Sanktionsprüfungen durchführen. Thorn sagte, dass die neue Ethereum-Adresse an relevante Unternehmen verteilt wurde, damit diese nachfolgende Einzahlungen identifizieren können.
Coldcard-Benutzer benötigen weiterhin neue Wallet-Seeds
Der Diebstahl wurde mit schwacher Seed-Generierung in der Coldcard-Firmware in Verbindung gebracht, die ab 2021 veröffentlicht wurde. Die Schwachstelle reduzierte die Zufälligkeit, die einige Wallet-Anmeldeinformationen schützte, sodass Angreifer private Schlüssel berechnen konnten, ohne physischen Zugriff auf die Geräte zu haben.
Coinkite, der Hersteller von Coldcard, sagt, dass korrigierte Firmware für betroffene Modelle verfügbar ist. Die aktuelle Sicherheits-anleitung besagt, dass zuvor generierte anfällige Seeds weiterhin migriert werden müssen.
Die Installation aktualisierter Firmware repariert keinen Seed, der unter der betroffenen Software erstellt wurde. Benutzer müssen mit korrigierter Firmware einen neuen Seed generieren und ihre Bitcoins an Adressen übertragen, die von dieser neuen Wallet kontrolliert werden.
In der Zwischenzeit blieb der Angreifer auch nach dem Ende der größten Diebstahlwellen aktiv. Am 29. August fegte eine mit der Operation verbundene Adresse Bitcoin aus einer absichtlich geschwächten Forscher-Wallet, so Thorn. Forscher erstellten die Wallet, um zu testen, ob der Angreifer weiterhin nach vorhersehbaren privaten Schlüsseln suchte. Ihre schnelle Kompromittierung deutete darauf hin, dass die automatisierte Suche fast einen Monat nach den ersten großen Diebstählen noch aktiv war.
Der Vorfall hat auch zu einer genaueren Untersuchung geführt, wie Hardware-Wallets Wiederherstellungsphrasen generieren. Im Gegensatz zu Phishing-Angriffen erforderten die Coldcard-Diebstähle nicht, dass Opfer Transaktionen genehmigten oder Anmeldeinformationen preisgaben. Die offengelegten Seeds enthielten unzureichende Zufälligkeit, sodass Angreifer Schlüssel remote ableiten und finanzierte Adressen im öffentlichen Bitcoin-Ledger identifizieren konnten. Wie crypto.news zuvor erklärte, schwächte der Firmware-Fehler Seeds, die auf betroffenen Geräten generiert wurden, was bedeutet, dass sichere Aufbewahrungspraktiken Gelder, die mit diesen Anmeldeinformationen verbunden sind, nicht schützen konnten.
Galaxy und andere Ermittler werden voraussichtlich die neue Ethereum-Adresse weiterhin beobachten. Zum Zeitpunkt der Meldung der Transfers war keine öffentliche Wiederherstellung, Verhaftung oder offizielle Identifizierung des Angreifers angekündigt worden.
