Das Sicherheitsteam des Unternehmens Block hat bei den Untersuchungen zum massiven Diebstahl von Kryptowährungen aus Coldcard-Hardware-Wallets eine konkrete Spur identifiziert. Ein kostenpflichtiger Account bei einem bekannten, namentlich jedoch nicht genannten Blockchain-Datenanbieter wurde offenbar vom Täter genutzt, um gezielt Adressen abzufragen. Interne Protokolle des Dienstleisters belegen diesen Ablauf laut den Sicherheitsanalysten mit außergewöhnlicher Genauigkeit.
Es gebe derzeit keine Hinweise auf eine wissentliche Beteiligung des Dienstleisters; das Unternehmen habe nach aktuellem Kenntnisstand nichts von dem Diebstahl gewusst. Die gewonnenen Informationen wurden von Block bereits an die zuständigen Behörden weitergeleitet. Experten des Sicherheitsteams vermuten zudem, dass der Täter bei der Durchführung des Angriffs KI-Werkzeuge eingesetzt haben könnte.
Technischer Hintergrund und Ausmaß des Diebstahls
Den Ermittlungen zufolge liegt die Ursache der Sicherheitslücke in einem Firmware-Fehler der Coinkite-Wallets, der bereits im März 2021 implementiert wurde. Dieser Fehler führte dazu, dass der Hardware-Zufallsgenerator übersprungen und stattdessen ein Software-Fallback genutzt wurde, der auf Seriennummern und Uhrwerten basierte. Dadurch wurde die Entropie der erzeugten Sicherheitsschlüssel massiv reduziert: Bei den Modellen Mk3 auf etwa 40 Bit und bei den Modellen Mk4, Mk5 sowie Q auf etwa 72 Bit. Der Schlüsselraum verringerte sich damit auf rund 4 Milliarden Möglichkeiten, was eine Rekonstruktion der Schlüssel ermöglichte.
Analysen von Galaxy Research verdeutlichen die Geschwindigkeit des Angriffs. In einer ersten Welle wurden innerhalb von nur 41 Minuten insgesamt 1.082,65 BTC (entspricht etwa 70 Mio. US-Dollar) aus 1.196 Coldcard-Wallets abgezogen. Die Transaktionen erfolgten in sechs Blöcken zwischen 01:10 und 01:51 UTC. Marktforscher von Chainalysis ergänzten, dass allein in den ersten zehn Minuten Werte im Gegenwert von rund 30 Mio. US-Dollar erbeutet wurden. Die größten Verluste pro Opfer beliefen sich dabei auf 1,8 Mio. US-Dollar.
Eine weitere Welle wurde zwischen einem Freitagmittag und einem Samstagmorgen verzeichnet, bei der laut Galaxy Research weitere 208 BTC von 1.912 Adressen entwendet wurden. Die Gesamtverluste belaufen sich nach aktuellem Stand auf 1.367 BTC (rund 89 Mio. US-Dollar), wovon 4.585 Adressen betroffen sind. Die Beute wurde zunächst auf vier Hauptadressen verteilt und dort unbewegt belassen.
Der Einsatz von KI bei Cyberangriffen stellt Unternehmen vor völlig neue Herausforderungen in der IT-Sicherheit. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Verantwortliche jetzt kennen müssen. KI-Gesetze und neue Cyberrisiken im Gratis-Report entdecken
Transaktionsmuster und Schutzmaßnahmen
Die Angreifer gingen bei den Transaktionen höchst methodisch vor. Die Analysten stellten identische Gebühren von 30 sat/vB und ein Fehlen von Wechselgeld-Ausgängen (Change-Outputs) fest. In der dritten Angriffswelle wurden zudem komplexere Muster mit P2WSH-Ausgängen beobachtet. Ob alle Wellen von demselben Akteur stammen, konnte bisher nicht abschließend bestätigt werden, wenngleich Galaxy Research pro Welle von einem einzelnen Akteur ausgeht.
Coinkite hat auf die Vorfälle mit der Veröffentlichung von Firmware-Updates reagiert. Als sichere Versionen gelten nun Mk4/Mk5 5.6.0 und Q 1.5.0Q. Für das Modell Mk3 ist laut dem Hersteller kein Update geplant. Das Unternehmen betonte jedoch, dass ein Firmware-Update bereits existierende schwache Sicherheitsschlüssel (Seeds) nicht reparieren kann. Betroffenen Nutzern wird daher dringend zur Migration auf vollständig neue Seeds geraten. Die Verwendung einer BIP39-Passphrase bietet zwar zusätzlichen Schutz, ersetzt jedoch nicht die notwendige Erstellung eines neuen Schlüssels.
Wer sich mit proaktiver IT-Sicherheit befasst, sollte über aktuelle Bedrohungsszenarien und kostengünstige Schutzmaßnahmen informiert sein. Experten erklären in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und gesetzliche Anforderungen erfüllen. Kostenloses E-Book für IT-Sicherheit herunterladen
Der Binance-Gründer warnte angesichts der Vorfälle davor, dass Hardware-Wallets keine absolute Sicherheit bieten könnten. Er riet dazu, digitale Bestände auf mehrere Wallets zu verteilen, um das Risiko zu minimieren. Unterdessen warnen Branchenanalysten vor weiteren Angriffswellen, da die Suche nach weiteren verwundbaren Adressen durch potenzielle Täter mutmaßlich andauert.
