Galaxy Research: 1.367 Bitcoin gestolen via drie aanvalsgolven op Coldcard

Onderzoek van Galaxy Research legt drie vermoedelijke aanvalsgolven bloot die gericht waren op Bitcoin adressen die zijn aangemaakt via Coldcard hardware wallets. In totaal raakten 4.585 adressen getroffen en verdween er 1.367,05 Bitcoin, wat neerkomt op ongeveer $88,6 miljoen. De aanvallen zijn uitsluitend vastgesteld op basis van blockchaindata en het is nog niet bevestigd of de getroffen adressen daadwerkelijk zijn aangemaakt met onvoldoende willekeur.

Bitcoin is verkrijgbaar bij Bitvavo en OKX.

In het kort:

• Galaxy Research stelt drie aanvalsgolven vast waarbij 1.367 Bitcoin werd gestolen van Coldcard adressen.
• De eerste twee golven lijken op elkaar qua transactiepatroon, de derde week sterk af en kan een andere aanvaller zijn.
• De gestolen Bitcoin stond gemiddeld 3,18 jaar stil voor de diefstal en bevindt zich nog steeds in adressen van de aanvallers.

Drie golven, mogelijk meerdere aanvallers

De drie aanvalsgolven verschilden flink van elkaar in omvang en aanpak. De eerste golf vond plaats op 30 juli tussen 01:10 en 01:51 UTC en duurde slechts 41 minuten. In die tijd werden 1.195 adressen leeggehaald voor een totaal van 1.082,65 Bitcoin, met een gemiddeld verlies van 0,906 Bitcoin per adres. De tweede golf startte een dag later op 31 juli en duurde ruim drie uur en veertig minuten. Daarbij verloren 1.478 adressen samen 76,16 Bitcoin.

De derde en laatste golf liep van 31 juli tot 1 augustus en besloeg bijna tien uur. In dit geval raakten 1.912 adressen getroffen, goed voor 208,24 Bitcoin. Opvallend is dat de derde golf gebruikmaakte van P2WSH adrestypes en de coins direct naar aparte kluisadressen stuurde, terwijl de eerste twee golven P2WPKH adressen aanvielen. Galaxy geeft aan dat de eerste twee golven qua transactiepatroon op elkaar lijken en mogelijk door dezelfde partij zijn uitgevoerd. Of de derde golf van dezelfde aanvaller afkomstig is of een nieuwe actor betreft, is niet vastgesteld.

Gestolen Bitcoin nog niet verplaatst

Alex Thorn, hoofd onderzoek bij Galaxy Research, laat weten dat de aanvallen nog steeds doorgaan. Hij roept iedereen die mogelijk een kwetsbaar Coldcard adres bezit op om zo snel mogelijk de fondsen te verplaatsen naar een veilig adres. Eerder schreven we al over het Coldcard beveiligingslek waarbij 594 BTC werd gestolen, en over hoe het Bitcoin sentiment een historisch dieptepunt bereikte na het nieuws.

Opmerkelijk genoeg staat de gestolen Bitcoin nog steeds stil in de adressen van de aanvallers. De munten stonden gemiddeld 3,18 jaar en een mediane periode van 3,55 jaar onbewogen op de getroffen adressen voor ze werden weggesluisd, wat erop wijst dat het voornamelijk om langetermijnbezitters gaat. Bij de huidige koers van rond de $63.436 vertegenwoordigen de gestolen munten een aanzienlijk vermogen.