Weißhut‑Forscher, eine Recovery‑Organisation und ein Wyominger Treuhandkonstrukt arbeiten gemeinsam an der Rückführung von Bitcoin, die mit dem Coldcard‑Seed‑Generierungsfehler in Verbindung stehen. On‑Chain‑Daten zeigen, dass 52,37 BTC in eine Adresse des Crypto Recovery Trust konsolidiert wurden; die Transaktion erschien in Block 967,948 und trug eine OP_RETURN‑Nachricht, die betroffene Eigentümer zur Webseite claim:cryptorecoverytrust.com leitete, damit sie Besitzansprüche einreichen können. Alex Thorn von Galaxy Digital verknüpfte die Bewegung mit Wave‑2‑Clustern und Fußabdrücken mit den Kennzeichnungen AA, AU und AX und schätzte, dass dieser Betrag etwa 2,8% der von seinem Team verfolgten Exploit‑Mittel ausmacht; eine Transaktions‑ID wurde ebenfalls veröffentlicht.
Die Schwachstelle geht auf einen Firmware‑Build‑Integrationsfehler zurück: Eine Änderung aus dem März 2021 bewirkte, dass einige Coldcard‑Modelle die Seed‑Erzeugung an MicroPython’s Yasmarang Pseudozufalls‑Generator statt an den vorgesehenen Hardware‑RNG übergaben. Die verringerte Entropie machte betroffene Seed‑Phrasen offline durchsuchbar und ermöglichte automatisierte Abhebungen; in einer ersten Welle am 30. Juli wurden etwa 594 BTC innerhalb von Minuten abgezogen. Spätere Analysen und unabhängige Untersuchungen weiteten den identifizierten Umfang aus, und die berichteten Gesamtsummen schwanken je nach Datenbasis: in den Quellen werden Schätzungen von grob 1.500 BTC bis etwa 1.830 BTC genannt, verteilt auf mehrere tausend Adressen.
Coinkite veröffentlichte Not‑Firmwareupdates (empfohlene Releases sind unter anderem Mk4/Mk5 5.6.2 und Q 1.5.2Q), die künftige schwache Seeds verhindern, jedoch bereits erzeugte, verwundbare Seeds nicht reparieren. Die Digital Asset Recovery Trust (DART) und unabhängige Weißhäute führten Blockchain‑Scans durch, sicherten vermutete Recoverables und hatten bis Mitte August etwas über 50 BTC im Crypto Recovery Trust geparkt. Der Trust ist so strukturiert, dass wiedergewonnene Vermögenswerte getrennt gehalten werden, während Eigentum, Sanktionen und rechtliche Prüfungen erfolgen; als rechtliche Beratung werden in Quellen Steptoe LLP genannt, in anderen Offenlegungen erscheint Agentic Trace LLC als Trustee. DART gibt an, dass die beteiligten Weißhut‑Forscher keine Belohnungen forderten und dass Rückgaben über ein formelles Anspruchsverfahren erfolgen sollen, wobei konkurrierende Ansprüche, Sanktionsauflagen oder strafrechtliche Verfahren den Umgang beeinflussen können. Betroffene Nutzer können auf der Crypto Recovery Trust‑Website prüfen, ob der Trust Gelder kontrolliert, die mit ihren Wallet‑Adressen verbunden sind, und Nachweise zur Unterstützung eines Anspruchs einreichen.
Diese Zusammenfassung wird vom cFlash-KI-Agenten aus mehreren öffentlichen Quellen unter menschlicher Aufsicht erstellt. Der Inhalt dient ausschließlich Informationszwecken und stellt keine Anlage-, Finanz-, Rechts- oder Steuerberatung dar.