Ermittlungen zum Coldcard-Diebstahl
Ermittler haben möglicherweise den US-Behörden Informationen übermittelt, die zur Identifizierung eines Angreifers führen könnten, der für die erste Welle des Coldcard-Diebstahls verantwortlich ist. Dies berichtete Bitcoin Magazine am 18. August. Alex Thorn von Galaxy Research äußerte, dass die Identität des Angreifers der ersten Welle „den Strafverfolgungsbehörden bekannt sein könnte“. Seine Aussage war jedoch vorsichtig, und das FBI hat bislang nicht öffentlich bestätigt, einen Verdächtigen identifiziert, einen Fall eröffnet, eine Festnahme vorgenommen oder gestohlene Bitcoins zurückgewonnen.
Details zum Diebstahl
In der ersten Welle wurden 1.082,65 BTC aus Wallets entwendet, die mit anfälliger Coldcard-Firmware generiert wurden. Bei einem aktuellen Bitcoin-Preis von etwa 64.000 USD wären diese Münzen rund 69 Millionen USD wert, nicht 11,8 Millionen USD. Clay Garrett, der technische Leiter von Block, erklärte, dass die Ermittler ein ungewöhnliches Muster in den Onchain-Transaktionen des Angreifers entdeckt hätten. Der Täter soll ein kostenpflichtiges Konto bei einem nicht genannten Blockchain-Datenanbieter genutzt haben, um Quelladressen abzufragen und damit verbundene Aktivitäten durchzuführen.
„Der Dieb der ersten Welle könnte dem FBI bekannt sein, da er den Anbieter kontaktierte, dessen interne Protokolle angeblich die Anzahl, den Zeitpunkt und die Reihenfolge der verdächtigen Anfragen mit außergewöhnlicher Genauigkeit dokumentierten.“
Garrett berichtete, dass Block relevante Informationen an die zuständigen Behörden weitergegeben habe. Das Konto könnte Zahlungs-, Zugriffs- oder Abonnentenaufzeichnungen enthalten. Es gibt jedoch keine öffentlichen Beweise, die klären, welche Aufzeichnungen aufbewahrt wurden, wer das Konto kontrollierte oder ob der Dienst genaue Identifikationsinformationen erhalten hat. Block stellte zudem fest, dass es keine Beweise dafür gibt, dass der Anbieter wissentlich beim Diebstahl geholfen hat. Das Unternehmen schien gewöhnliche Dienstleistungen anzubieten, ohne zu wissen, wie die Informationen verwendet werden würden.
Rechtliche Situation und Beweislage
Der Bericht von Bitcoin Magazine verknüpfte die Ermittlungsführung mit dem FBI, jedoch gibt es keine offizielle Bestätigung seitens des FBI. In den öffentlichen Aufzeichnungen wurden kein Strafantrag, keine Anklage, kein Beschlagnahmeantrag oder kein Einziehungsantrag gefunden. Thorns Formulierung ist daher entscheidend: Eine Identität, die „bekannt sein könnte“, ist nicht dasselbe wie ein verifizierter Verdächtiger oder ein angeklagter Beklagter. Die Ermittler müssen weiterhin klären, wer das Konto betrieben hat, wer die empfangenden Adressen kontrollierte und ob die Beweise strafrechtliche Anklagen unterstützen.
Aktueller Status der gestohlenen Mittel
Die Mittel der ersten Welle sind weiterhin an den zugehörigen Adressen sichtbar. Wie crypto.news zuvor berichtete, hatte das größte unberührte Guthaben des Angreifers keinen bekannten Austausch oder Mixer durchlaufen. Diese Münzen sind nicht eingefroren. Bitcoin-Transaktionen können auf Protokollebene nicht rückgängig gemacht oder blockiert werden. Eine Wiederherstellung würde die Kontrolle über die privaten Schlüssel, eine freiwillige Rückgabe oder eine spätere Übertragung durch einen Vermittler erfordern, der in der Lage ist, einer rechtmäßigen Beschlagnahmeanordnung nachzukommen.
Forschung und zukünftige Ermittlungen
Die neueste öffentliche Forschungsseite von Galaxy listet Verluste von mindestens 1.700 BTC über mehrere Wellen hinweg. Andere Gesamtzahlen bleiben höher, da Forscher unterschiedliche Adresscluster, Bestätigungsstandards und Opferberichte verwenden. Spätere Diebstahlswellen zeigten unterschiedliche Transaktionsmuster. Forscher haben daher gewarnt, dass mehr als ein Akteur den schwachen Seed-Raum ausgenutzt haben könnte, nachdem Informationen über den Fehler öffentlich wurden. Diese Unterscheidung bedeutet, dass die Identifizierung des ersten Betreibers nicht unbedingt jeden Diebstahl aufklären würde. Galaxy hat verdächtige Adressen an Ermittler, Börsen und Analyseunternehmen weitergegeben, jedoch hat keine Behörde eine Wiederherstellung angekündigt.
Technische Überprüfung und Sicherheitsfragen
In verwandten Berichten stellte die frühere technische Überprüfung von crypto.news fest, dass der Vorfall mit schwacher Seed-Generierung zu tun hatte und nicht mit einem Kompromiss des Bitcoin-Protokolls oder physischem Zugriff auf Geräte. Coinkites Beratung besagt, dass die betroffenen Mk2- und Mk3-Firmware ab Version 4.0.1 Seeds mit unzureichender Entropie generiert haben. Seeds, die auf bestimmten Mk4-, Mk5- und Q-Versionen erstellt wurden, waren ebenfalls exponiert, obwohl ihre Entropie-Reduktion weniger schwerwiegend war. Feste Firmware verhindert denselben Defekt bei der Generierung neuer Seeds. Die Installation eines Updates repariert keinen bestehenden anfälligen Seed. Benutzer müssen zuerst aktualisieren, einen völlig neuen Seed erstellen und ihre Mittel nach Überprüfung einer Testtransaktion verschieben.
Der aktuelle Status von Coinkite besagt, dass die formelle technische Nachuntersuchung noch im Gange ist. Es wird auch gesagt, dass gezielte unabhängige Überprüfungen stattgefunden haben, aber nicht belegen, dass jede feste Firmware-Binärdatei eine vollständige Prüfung erhalten hat. Der Vorfall hat Forderungen nach unabhängigen Hardware-Audits ausgelöst. Die unmittelbaren Fragen betreffen nun, ob die Behörden das kostenpflichtige Konto mit einer Person verbinden können, ob die Mittel der ersten Welle bewegt werden und ob die Gerichtsakten schließlich eine Untersuchung bestätigen.
