Coldcard-Hack: Wallet des Angreifers nach Wochen wieder aktiv

Bitcoin verzeichnet frische On-Chain-Aktivität im Zusammenhang mit dem Coldcard-Sicherheitsvorfall. Der Angreifer hinter dem Coldcard-Exploit hat erstmals seit Wochen wieder gestohlene Mittel transferiert und 30,185 BTC auf eine neue Adresse verschoben. Auch wenn die Tranche mit rund 1,94 Millionen US-Dollar nur einen Bruchteil der Beute ausmacht, sehen On-Chain-Analysten in der Bewegung ein mögliches Signal für Vorbereitungen auf eine Auszahlung.

Erste Wallet-Bewegung seit Wochen

On-Chain-Daten zufolge sandte der Angreifer 30,185 BTC an ein neu erstelltes Wallet. Mit einem Gegenwert von knapp 1,94 Millionen US-Dollar entspricht diese Tranche etwa 1,5 Prozent der gesamten ihm zugeschriebenen Bestände.

Dem Hauptakteur werden rund 2.055 BTC mit einem Wert von nahezu 130 Millionen US-Dollar zugerechnet. Die Transaktion beendet eine Phase der Inaktivität; weitere On-Chain-Beobachter bestätigten die Überweisung kurz darauf.

Die Hintergründe des Coldcard-Exploits

Der zugrundeliegende Vorfall geht auf eine Schwachstelle in der Firmware von Coldcard-Hardware-Wallets des in Toronto ansässigen Herstellers Coinkite zurück. Durch einen Fehler erzeugten betroffene Geräte Seeds mit nur einem Teil der vorgesehenen kryptografischen Zufälligkeit. Dadurch waren Nutzer betroffener Firmware-Versionen Brute-Force-Angriffen ausgesetzt, die auf die Rekonstruktion privater Schlüssel zielten.

Die Verluste aus dem Exploit stiegen auf über 116 Millionen US-Dollar. Dabei wurden mehr als 1.800 BTC von über 5.200 Adressen abgezogen, nachdem in den Wochen nach der ersten Offenlegung weitere Abflusswellen entdeckt worden waren. Rund 25 Prozent aller zurechenbaren Verluste entfielen auf kanadische Nutzer.

Engmaschige On-Chain-Überwachung der Beute

In der On-Chain-Community wird der Schritt des Hackers intensiv beobachtet. Bei einem möglichen Auszahlungsversuch könnten die Coins über eine Reihe von Wallets, Mixern oder Cross-Chain-Bridges bewegt werden, bevor eine Umwandlung in andere Vermögenswerte oder Fiatgeld versucht wird.

Auffällig ist zudem, dass dem Hacker zuvor öffentlich ein Angebot gemacht wurde, die Mittel direkt on-chain zu waschen. Der On-Chain-Ermittler ZachXBT erklärte unabhängig davon, dass er keine eigenen Nachverfolgungen der gestohlenen Mittel plane. Andere Forscher und Blockchain-Analyseaccounts beobachten die beteiligten Wallets weiterhin genau.

Was die Transaktion bedeuten könnte

Die Überweisung ist im Verhältnis zu den verbliebenen Beständen klein, beendet jedoch die vorherige Ruhe um die gestohlenen Coins. On-Chain-Analysten werten erste Bewegungen aus inaktiven Hacker-Wallets als mögliches frühes Zeichen eines Auszahlungsversuchs.

Weitere Transaktionen der Empfängeradresse könnten Aufschluss darüber geben, ob der Angreifer eine Route für Geldwäsche testet, Mittel vor einer größeren Bewegung zusammenführt oder auf äußeren Druck reagiert. Für Betroffene zeigt die Bewegung zugleich, dass die Coins weiterhin auf der öffentlichen Blockchain vorhanden und nachvollziehbar sind, auch wenn spätere Transfers die Verfolgung erschweren könnten.