coindesk.com
Eine vierte Welle von Sweeps gegen Bitcoin BTC$62.560,27-Adressen, die von der Coldcard Cold Wallet generiert wurden, begann am frühen Montagmorgen und lief auch Stunden später noch. Diesmal können die Transaktionen jedoch, während sie unbestätigt sind, von Forschern zufolge überschrieben werden.
Alex Thorn, Leiter der unternehmensweiten Forschung bei Galaxy Research, die aktive Welle markiert und erklärte, dass die Angreifer die Option „Replace-by-Fee“ gewählt haben, eine Bitcoin-Funktion, die es erlaubt, eine ausstehende Transaktion durch eine spätere Transaktion mit höheren Gebühren zu ersetzen. Bis eine Transaktion bestätigt ist, kann ein Opfer, dessen Adresse sich im Mempool – der Warteschlange der unbestätigten Transaktionen – befindet, mehr bezahlen und die Coins zuerst transferieren.
Der Angriff begann am 30. Juli mit einer Durchsuchung, die erwarb 1.083 Bitcoin von 1.196 Adressen in 41 Minuten. Zwei weitere Wellen über das Wochenende führten zu beobachteten Verlusten von 1.367 Bitcoin auf 4.585 Adressen.
Die Schwachstelle, die den Exploit ermöglichte, lässt sich auf eine Firmware-Version aus dem März 2021 zurückverfolgen, die die Seed-Erzeugung an einen vorhersehbaren Software-Zufallszahlengenerator weiterleitete anstatt an den Hardware-Zufallszahlengenerator des Chips. Dadurch wurden die resultierenden Schlüssel offline von jedem reproduzierbar, der den Bereich kennt. Der Coldcard-Hersteller Coinkite veröffentlichte eine Notfall-Firmware für alle betroffenen Modelle und riet Nutzern, die einen Seed mit der fehlerhaften Software generiert hatten, ihre Gelder an eine mit einem frischen Seed erstellte Wallet-Adresse zu transferieren.
Thorn erklärte, er habe keinen direkten Opferbericht erhalten und veröffentlichte seine Erkenntnisse ausschließlich auf Basis von Mustererkennung, wobei er Geschwindigkeit der Bestätigung vorzog, um die Menschen zu warnen, während die Transaktionen noch unbestätigt waren.
Wenn es hält, hat die kumulierte Summe über vier Wellen hinweg etwa 1.816 Bitcoin erreicht, was bei einem Wert von knapp 114 Millionen US-Dollar von mehr als 5.200 Adressen seit dem 30. Juli stammt.
Thorn riet den Nutzern, ihre Gelder zu überprüfen, sämtliche Vermögenswerte von einem betroffenen Gerät zu entfernen und die Gebühr zu erhöhen.
Das Muster umfasste die Blöcke 960.778 bis 960.792, mit 218 Transaktionen, die 462 Opferadressen mit einer Rate von etwa 14 Sweeps pro Block trafen, verglichen mit 0,3 in einem Kontrollzeitraum vor dem Vorfall, was etwa dem 45-fachen des Normals entspricht.