Vierde aanvalsgolf op Coldcard wallets: bijna 449 Bitcoin gestolen

Gebruikers van Coldcard hardwarewallets worden opnieuw getroffen door een georganiseerde aanval. Alex Thorn, hoofd onderzoek bij Galaxy Research, meldt dat er vermoedelijk een vierde aanvalsgolf gaande is waarbij bijna 449 Bitcoin verdwijnt uit kwetsbare adressen. Gebruikers krijgen het dringende advies om hun tegoeden onmiddellijk te verplaatsen.

Bitcoin is verkrijgbaar bij Bitvavo en OKX.

In het kort:

• Een vermoedelijk vierde aanvalsgolf richt zich op Coldcard wallets met kwetsbare firmware, waarbij zo’n 449 Bitcoin is weggesluisd.
• De activiteit ligt ongeveer 45 keer hoger dan normaal, met 709 getroffen adressen na correctie van eerdere cijfers.
• Coldcard heeft verzendingen stopgezet en alle apparaten met de kwetsbare firmware vernietigd. Gebruikers moeten een nieuwe seed aanmaken en fondsen verplaatsen.

Patroon wijst op georganiseerde aanval

Thorn ontdekt het patroon in blokken 960.778 tot en met 960.792, een periode van ongeveer tweeënhalf uur. In die tijd vindt hij 218 transacties vanuit honderden adressen, waarbij de tegoeden worden doorgestuurd naar nieuwe bestemmingsadressen. Opvallend is dat geen van de betrokken transacties invoer bevat van vóór de kwetsbare Coldcard firmware, wat sterk suggereert dat het om slachtoffers van precies die firmware gaat.

De transactiesnelheid ligt op 13,8 sweeps per blok, terwijl dat normaal slechts 0,3 per blok is. Dat komt neer op een activiteitsniveau dat ongeveer 45 keer hoger ligt dan gebruikelijk. Een deel van de fondsen is inmiddels al doorgestuurd naar zogenaamde tweede-hop adressen, wat het terughalen bemoeilijkt.

Gecorrigeerde cijfers na eerste melding

In een latere update past Thorn zijn cijfers aan. Zijn eerste analyse bevatte per abuis ook multisignatuur-adressen, terwijl die in eerdere aanvalsgolven niet voorkwamen. Na het verwijderen van die adressen komen de definitieve cijfers uit op 709 getroffen adressen en 448,73 Bitcoin. Dat is lager dan de aanvankelijk gerapporteerde 857 adressen en 486,11 Bitcoin.

Thorn geeft aan dat hij nog geen directe slachtoffermelding voor deze vierde golf heeft ontvangen en dat zijn conclusies gebaseerd zijn op patroonherkenning. Hij roept iedereen die zichzelf herkent als slachtoffer op om contact met hem op te nemen. Gelijksoortige transacties staan nog in de mempool te wachten op bevestiging. Transacties die RBF ondersteunen bieden mogelijk een ontsnappingsroute: door een vervangende transactie met een hogere vergoeding in te sturen, kunnen gebruikers hun fondsen nog naar een veilig adres sturen.

Coldcard stopt verzendingen en roept op tot actie

De drie eerdere aanvalsgolven troffen 4.585 adressen en draineerden 1.367 Bitcoin, destijds ter waarde van ongeveer $88,6 miljoen. Met de huidige koers van $62K ligt de schade van alleen al de vierde golf in de tientallen miljoenen dollars.

Coldcard laat weten dat het de verzending van apparaten heeft stopgezet en alle resterende exemplaren met de kwetsbare firmware heeft vernietigd. De producten Satscard, Opendime en Tapsigner zijn niet getroffen. Een firmware-update biedt bescherming voor nieuw aangemaakte seeds, maar gebruikers die ooit een seed hebben aangemaakt op de kwetsbare versie moeten een volledig nieuwe seed genereren en hun tegoeden vanuit de oude adressen verplaatsen. Wie nog niet heeft gehandeld, doet er verstandig aan dat zo snel mogelijk te doen.