Coldcard hack!

[jahead]

ich weis nicht wie ich die letzten 20h überlebt habe...
[...]
hab ehrlich gesagt kein vertrauen mehr in Hardware wallets... werde mir eine andere struktur überlegen ink umschichten in ETF(ETP)s

Ufff, was eine Story und je höher die Beträge, desto schlimmer die Anspannung auf dem Weg nach Hause...

Es ging vielen wahrscheinlich ähnlich wie Dir und haben ihre Bitcoin bewegt und laut glassnode kann man sehen, dass die Anzahl der BTC-"Sending Addresses" am Freitag so hoch war, wie seit 2024 nicht mehr und das sagt einiges über diesen Hack und seine Reichweite aus...

[Lakai01]

Ich habe heute eine recht interessante Diskussion dazu verfolgt:

Die vier Adressen, auf die die BTC von den Hackern abgezogen wurden, sind nun wohl die am meisten überwachten Adressen der Welt. Das bedeutet gleichzeitig auch, dass die Hacker die BTC nirgendwohin transferieren können, da die Adressen sowohl bei zentralen als auch dezentralen Diensten (Mixer, ...) ebenfalls bekannt und mit sehr hoher Wahrscheinlichkeit auf einer Blacklist sind ... die Coins sind damit quasi "wertlos":

Dear COLDCARD attackers,

Congratulations. You successfully found a bug, exploited, and have collectively gathered around 1,500 bitcoin.

Now you are sitting on one of the most blacklisted coin stacks in history. It will be nearly impossible for you to exchange for currency or deal with any institution. Every move you make will be highly scrutinized and tracked. Presumably for the rest of your lives, you will be looking over your shoulder.

I suggest you plea with CoinKite to return all stolen funds in return for an audit fee of 5% of the loot. This way your work is rewarded and you are able to enjoy the fruits of your labor.

Respectfully,
hodlers worldwide

Quelle

[virginorange]

Das bedeutet gleichzeitig auch, dass die Hacker die BTC nirgendwohin transferieren können, da die Adressen sowohl bei zentralen als auch dezentralen Diensten (Mixer, ...) ebenfalls bekannt und mit sehr hoher Wahrscheinlichkeit auf einer Blacklist sind ... die Coins sind damit quasi "wertlos":

Also wenn ich der Hacker wäre, würde alle Services testen, die mir BTC gegen XMR oder ggf. andere Privacy Coins eintauschen. Nach ein paar Hops in Monero würde ich im Zeitverlauf wieder zurück nach Bitcoin und P2P raus. Jetzt kannst du mit 10k USD im Monat leben. Große Sprünge machst du damit natürlich aber nicht.

[Lakai01]

Das bedeutet gleichzeitig auch, dass die Hacker die BTC nirgendwohin transferieren können, da die Adressen sowohl bei zentralen als auch dezentralen Diensten (Mixer, ...) ebenfalls bekannt und mit sehr hoher Wahrscheinlichkeit auf einer Blacklist sind ... die Coins sind damit quasi "wertlos":

Also wenn ich der Hacker wäre, würde alle Services testen, die mir BTC gegen XMR oder ggf. andere Privacy Coins eintauschen.

Darum geht es im Grunde ja:
Auch Mixer führen Blacklists von Adressen, von denen sie keine Einzahlungen akzeptieren. Die Vermutung in dem von mir geteilten Posting auf X ist daher, dass sowohl zentrale als auch dezentrale Dienste wie eben Mixer diese Adressen bereits blockieren. Ggfs. wachen aber auch zigtausende Watcher auf diesen Adressen und würden jede Bewegung sofort bemerken und die Zieladressen - wenn es sich denn um bekannte Adressen von Diensten handelt - wohl ebenfalls sofort informieren.

Sobald die BTC aber in Monero oder vergleichbare Coins umgewandelt sind ist der Spuk natürlich vorbei und die Angreifer können diese relativ einfach in die Währung ihrer Wahl transformieren.

[cygan]

✂️
Darum geht es im Grunde ja:
Auch Mixer führen Blacklists von Adressen, von denen sie keine Einzahlungen akzeptieren. Die Vermutung in dem von mir geteilten Posting auf X ist daher, dass sowohl zentrale als auch dezentrale Dienste wie eben Mixer diese Adressen bereits blockieren. Ggfs. wachen aber auch zigtausende Watcher auf diesen Adressen und würden jede Bewegung sofort bemerken und die Zieladressen - wenn es sich denn um bekannte Adressen von Diensten handelt - wohl ebenfalls sofort informieren.

Sobald die BTC aber in Monero oder vergleichbare Coins umgewandelt sind ist der Spuk natürlich vorbei und die Angreifer können diese relativ einfach in die Währung ihrer Wahl transformieren.

ich glaube, es gibt noch einen anderen ausweg 'gestohlene' Bitcoins waschen zu können und zwar über die casinos
natürlich würde man die bewegungen aus den jeweiligen BTC-adressen sofort merken, aber wenn die casinos hier nicht mitspielen und diese adressen auch nicht blacklisten, dann geht die spur verloren und der hacker könnte in USDT oder BTC auscashen, wenn ich mich nicht irre

[MinoRaiola]

Also drei Möglichkeiten: P2P, Casinos und Privacy Coins. Vermutlich werden alle drei genutzt um es weiter zu verschleiern. Durch den Scam in der Kürze der Zeit, würde ich vermuten, dass weitere Trades schon geplant sind... evtl. sogar äußerst "professionell". Aber dahinter steckt ein Mensch (oder mehrere) und sie machen Fehler. Früher oder später wird man gemütlicher und vermeidet Sicherheiten und dann könnte es eine Chance geben, jemand auswendig zu machen. Falls es aber jemand ist, der ohne Gier handelt und einen klaren fokussierten Blick hat, dann wird es länger dauern.

[jahead]

Richtig schlimm im Zuge des Hacks sind jetzt die ganzen auftretenden Trittbrettfahrer die vermeintlich BTC verloren haben und die sich eine emphatische KI-Geschichte aus dem Po ziehen um Aufmerksamkeit, Mitleid und Reichweite zu generieren. Schlimm ist das, gerade auf dem Rücken von reellen Opfern sich daran bereichern zu wollen. Vor allem auf X oder auch schon hier im Forum, sorry, aber das gerade in der Krypto-Welt wo an jeder zweiten Ecke ein Scam wartet, muss eine signierte Nachricht von der nachweislich betroffenen BTC-Wallet her - das mag wirklich hart klingen, aber ich habe bei Krypto schon Pferde kotzen sehen, Tote sind auferstanden und Krebs wurde von heute auf morgen geheilt...  

[cygan]

Verstehe ich das richtig, dass hier lediglich die generierung des passphrases problematisch war (weniger entropie) aber hier keine daten von der coldcard zugänglich gemacht wurden (also der cold wallet faktor gewahrt wurde)?!

genau, so verstehe ich das auch
ich habe auch im englischsprachigen faden, hier eine grafische darstellung für eine einfacher erklärung des entropie-angriffs gepostet

[virginorange]

Also drei Möglichkeiten: P2P, Casinos und Privacy Coins. Vermutlich werden alle drei genutzt um es weiter zu verschleiern.

P2P gegen Bank-Fiat verkaufen geht erst nach dem Waschen über privacy coins. Sonst hat man die Bösewichte gleich. Der Bösewicht verkauft P2P je 1000 EUR in Bitcoin an 10 Personen und ein paar Wochen später zahlt einer der Käufer die Coins auf einer zentralen Börse ein. Die Börse prüft dies, erstattet Anzeige und über die Kontoverbindung bekommt man den Bösewicht.

Mich wundert nur, dass die privacy Coins nicht steigen. Die müssten eigentlich durch die Decke gehen.

[Buchi-88]

Also wenn ich der Hacker wäre, würde alle Services testen, die mir BTC gegen XMR oder ggf. andere Privacy Coins eintauschen. Nach ein paar Hops in Monero würde ich im Zeitverlauf wieder zurück nach Bitcoin und P2P raus. Jetzt kannst du mit 10k USD im Monat leben. Große Sprünge machst du damit natürlich aber nicht.

Denke auch das die Hacker einen Weg finden und die Bitcoins nicht "Wertlos" sein werden. Auch mein Sparplan Anbieter hat mir eine Mail gesendet und einen Blog Post für Coldcard Wallet Besitzern.

READ THIS IF YOU USE A COLDCARD HARDWARE WALLET

Und was lernt man daraus, auch die auf dem Markt verfügbaren Wallets sind nicht zu 100% sicher, daher vertraue ich auch dem Service (Ledger Recover) von Ledger nicht...

[mole0815]

Schlimm ist das, gerade auf dem Rücken von reellen Opfern sich daran bereichern zu wollen.

Das ist richtig mies.
Im Forum habe ich noch nichts davon gelesen aber habe jetzt auch nicht wirklich lange recherchiert.

war gestern noch im Urlaub

Harte Geschichte. Zum Glück mit einem Happy End (wenn auch sehr müde!).
Nach den Strapazen vergeblich so eine Action erlebt zu haben wäre noch schlimmer... freut mich, wenn deine (verschiedenen) Funds nun in Sicherheit sind und du in ein paar Tagen lächelnd davon erzählen kannst - und nicht ab sofort täglich an den Totalverlust denken musst!

[jahead]

Im Forum habe ich noch nichts davon gelesen aber habe jetzt auch nicht wirklich lange recherchiert.

https://bitcointalk.org/index.php?topic=5589927.msg66996897#msg66996897

Absolut neuer Account, nur für die Geschichte erstellt: ColdcardVictim  
Hat mit nur einem Post insg. sage und schreibe 119 Merits erhalten und gibt auch gleich mal ein paar an einen Newbie-Account weiter (in einem Thread wo ein BTC-Puzzle/Wallet versucht geknackt zu werden).  
Sein Text ist an Theathralik und Pathos nicht zu überbieten - ich habe den Soundtrack dazu quasi direkt schon im Ohr gehabt.  
Der von ihm erstellte Topic mit seiner KI-Fantasygeschichte wurde übrigens in der Zwischenzeit gelöscht, aber seine Postings bestehen weiterhin im off. Thread zum Hack.    
Es wurde das Thema mit der zu signierenden Nachricht übrigens im Thread angesprochen und auch erklärt, worüber einfach hinweggesehen wird. 

[mole0815]

A video from two years ago has resurfaced in which this bloke warned about the ColdCard system and its vulnerabilities.

https://www.youtube.com/watch?v=oj_W3xOlt6U

Yesterday’s attack targeted the ColdCard Mk3 (40 bit), but this video also highlights issues with the Mk4 (72 bit).

Das Thema ist wohl nicht ganz neu

Absolut neuer Account, nur für die Geschichte erstellt: ColdcardVictim  

Danke!
Die Geschichte liest sich (natürlich!) sehr bitter - aber wie du sagst schon fast zu bitter bzw. perfekt passend.
Es gab auch div. Eingänge auf seiner Adresse und ich würde meinen er hat mit der Masche versucht ordentlich Spenden abzugreifen.
Hätte ja durchaus echt sein können (ja, ich bin so naiv ) aber die vergebenen Merits und auch das hier im AI Spam Report Reference Thread zeigen ein anderes Bild.

[jahead]

Es gab auch div. Eingänge auf seiner Adresse und ich würde meinen er hat mit der Masche versucht ordentlich Spenden abzugreifen.
Hätte ja durchaus echt sein können (ja, ich bin so naiv ) aber die vergebenen Merits und auch das hier im AI Spam Report Reference Thread zeigen ein anderes Bild.

Aaahhh, den Post im AI-Fake-Thread kannte ich in dem Kontext noch garnicht, das bestätigt ja meine These.  

Die im Posting hinterlegte Adresse ist nicht seine kompromittierte Wallet, sondern die Wallet vom Hacker, wohin die gestohlenen BTC verschoben wurden,
die betroffene Wallet des Verfassers wird nirgends genannt und in seinem Profil ist auch nur eine BTC-Walletadresse ohne Txs hinterlegt.

edit: sein Posting mit der Bilderbuch-Geschichte wurde von Mods gelöscht.

[mole0815]

Die im Posting hinterlegte Adresse ist nicht seine kompromittierte Wallet, sondern die Wallet vom Hacker, wohin die gestohlenen BTC verschoben wurden,
die betroffene Wallet des Verfassers wird nirgends genannt und in seinem Profil ist auch nur eine BTC-Walletadresse ohne Txs hinterlegt.

Ich bilde mir ein auch eine andere Adresse gesehen zu haben.
Ob das nun ein Gedankenfehler ist oder doch eine in seinen gelöschten Beiträgen (kann die History einsehen) war weiß ich nicht... ist auch nicht weiter relevant.
Viel Glück wird er mit seinem neuen Account hier nicht haben und außer um damit ein paar Merits zu ergattern war es auch echt sinnlos.

Ich bin auf jeden Fall sehr froh, dass es keinen neuen Eintrag von seolein in diesem Thread: Heute hat es mich erwischt.... geben muss und die Guthaben in Sicherheit gebracht werden konnten.
Sorry für das Salz in den Wunden Real-Duke

[Lakai01]

[...]
Und was lernt man daraus, auch die auf dem Markt verfügbaren Wallets sind nicht zu 100% sicher, daher vertraue ich auch dem Service (Ledger Recover) von Ledger nicht...

Diese Aussage verdient meiner Meinung nach eine viel größere Beachtung, allen voran jetzt, da die Wunden aus dem Coldcard-Hack noch frisch sind.

Ledger hat mir Ledger Recovery ein System geschaffen, mit dem der Private Key aus dem Hardware Wallet extrahiert werden kann wenn das Gerät eingesteckt und eine bestimmte Software (also Ledger Wallet) gestartet ist. Dieser Angriffspunkt ist meiner Meinung nach enorm und hat mich letztendlich dann auch dazu gebracht, einen Großteil meiner Coins weg von Ledger hin zu Trezor zu verschieben. Das Feature wird ja auch in der Crypto-Community nach wie vor sehr heiß diskutiert, gerade jetzt im Licht des "Self-Custody-Vorfalls" von Coldcard ...

[MinoRaiola]

P2P gegen Bank-Fiat verkaufen geht erst nach dem Waschen über privacy coins. Sonst hat man die Bösewichte gleich. Der Bösewicht verkauft P2P je 1000 EUR in Bitcoin an 10 Personen und ein paar Wochen später zahlt einer der Käufer die Coins auf einer zentralen Börse ein. Die Börse prüft dies, erstattet Anzeige und über die Kontoverbindung bekommt man den Bösewicht.

Mich wundert nur, dass die privacy Coins nicht steigen. Die müssten eigentlich durch die Decke gehen.

Monero hat knapp 5%+ gemacht in den letzten Tagen, also ein wenig ging es schon aufwärts. Bei Zcash sind es nur 3%,also das muss nicht wirklich damit zusammen hängen. Weitere Coins: https://coinmarketcap.com/view/privacy/. Es gibt schon ein paar mit +20-30%, aber keine davon unter den Top100. Der Stärkste unter den Top100 ist tatsächlich Monero.

So lange es noch ein 10.000€ Limit gibt, wird es Möglichkeiten geben physische Werte mit Bitcoin zu traden und die Coins zu Waschen.

[...]
Und was lernt man daraus, auch die auf dem Markt verfügbaren Wallets sind nicht zu 100% sicher, daher vertraue ich auch dem Service (Ledger Recover) von Ledger nicht...

Diese Aussage verdient meiner Meinung nach eine viel größere Beachtung, allen voran jetzt, da die Wunden aus dem Coldcard-Hack noch frisch sind.

Finde ich auch, das Vertrauen leidet (oder hat damit sehr stark gelitten) nach der Aktion. Man stelle sich vor, es würde nun bei anderen Anbieter ebenfalls passieren... einer davon Ledger. Das würde den Kurs sicherlich negativ beeinflussen.

[Koal-84]

ich weis nicht wie ich die letzten 20h überlebt habe...

war gestern noch im Urlaub, am Ende einer mehrstündigen Berg-Wanderung, total hungrig weil kaum was gegessen, checke ich zufällig x (twitter) und sehe nen post über Coldcard hack.. denke mir hmm shit, checke direkt meine coldcard wallets (inkl separatem Wallet für Familienmitglied) online und sehe dass noch alles da ist...puh... ok, MK2 und 3 sind betroffen mit einer bestimmen Firmware version, hatte natürlich keine Ahnung welche version ich habe, hab die Coldcard seit 2021 und hab damals auch nen passphrase vergeben. dann auf dem weg in die Ferienwohnung lese ich immer mehr Details und bekomme ein immer unguteres Gefühl dass die Sache noch nicht vorbei ist... Ende der Geschichte, hab mich nach Rücksprache mit Freundin dazu entschieden heimzufahren um 20uhr abends, also alles schnell gepackt, 7h Autofahrt ohne zu wissen ob meine Funds noch da sind wenn ich zuhause ankomme, knurrender Magen, Regen und Sturm auf der Fahrt, 1min vor Ladenschluss bei ner Tanke noch ein billiges Sandwich bekommen und um 2uhr nachts zuhause angekommen. Ab an den Rechner gesetzt und alles gerettet mit mehreren Transaktionen an sogenannte "Übergangslösungen"... hatte natürlich auch eine der problematischen Firmwares drauf.... um 6uhr morgens bin ich dann endlich ins bett und hab aber kein auge zubekommen...I`m done, what a day.. dem finanziellen Tod nochmal um haaresbreite von der Schippe gesprungen... der passphrase hat mich am ende des tages "gerettet"..

hab ehrlich gesagt kein vertrauen mehr in Hardware wallets... werde mir eine andere struktur überlegen ink umschichten in ETF(ETP)s

Was für eine Story, aber das kann ich sehr gut verstehen wie es dir gegangen ist, und auch das deine Freundin das versteht, weil da ist es dann auch nicht immer ganz einfach den Urlaub so abzubrechen, vor allem wenn sie Krypto nicht wirklich oder nur schwer verstehen. Aber das wichtigste ist einmal deine Funds sind gerettet, und den Unmut über Hardware Wallets kann ich schon verstehen.

Zu den sicheren Aufbewahrungen sind die Oldschool noch immer am Besten.

Zum Beispiel von unseren Mitgliedern hier im DACH Bereich:

[COLDKEY|ICARUS] - Stand der Dinge
Edle Edelstahl "Recovery Seed BTC Plate
Bitcoin oder Ethereum secure cold wallet (BIP38 encrypted)

Irgendjemand hat auch ncoh eine Bitcoin Cold Wallet Münze angeboten, die finde ich aber gerade nicht  

[cygan]

✂️
Irgendjemand hat auch ncoh eine Bitcoin Cold Wallet Münze angeboten, die finde ich aber gerade nicht  

die kam ebenfalls von unserem willi9974: Willi's Bitcoin Münze (Secure Cold Storage mit Security-Hologramm)

[Real-Duke]

Ich bin auf jeden Fall sehr froh, dass es keinen neuen Eintrag von seolein in diesem Thread: Heute hat es mich erwischt.... geben muss und die Guthaben in Sicherheit gebracht werden konnten.
Sorry für das Salz in den Wunden Real-Duke

Darüber bin ich Dir nicht böse, ganz im Gegenteil!
Ich verfolge ja auch die ganze Sache nebenbei und kann mir sehr gut vorstellen wie die Betroffenen sich gerade fühlen....vor allem sind das zum Teil unglaubliche Summen, hoffe niemand tut sich deswegen selbst etwas an

@seolein - habe deinen Beitrag oben natürlich auch gelesen und freue mich sehr für Dich, dass sich die Anstrengung am Ende gelohnt hat.

Bin schon sehr gespannt was die Hacker als nächstes probieren um die Coins irgendwie zu waschen. Die halbe Krypto Welt hat sie jetzt auf dem Schirm und verfolgt jeden einzelnen Schritt...hoffentlich werden sie früher oder später erwischt und nach aller Härte abgestraft!