Bitcoin-Wallet Coldcard warnte uns vor Jahren vor sich selbst

Bei dem Wort Coldcard läuft es vielen Bitcoin-Anlegern derzeit kalt den Rücken runter. Der spektakuläre Hack der Hardware-Wallets sorgt seit Tagen für Aufruhr im Krypto-Space. Über 1.800 Bitcoin wurden gestohlen, mehr als 5.000 Adressen sind betroffen – bislang. Der eigentliche Schaden dürfte bereits deutlich größer sein. Der Krypto-Space ist an einem wunden Punkt getroffen, die Verunsicherung ist entsprechend groß. Denn das Perfide: Selbst wer seine Coins vorbildlich schützt, ist offenbar nicht sicher. Umso makabrer wirkt ein alter Tweet des Wallet-Herstellers, der den Hack schon vor Jahren fast prophetisch vorwegnahm. Coldcard-Hack erschüttert den Bitcoin-Space Wer schon länger im Krypto-Space unterwegs ist, hat bereits einige Hacks miterlebt – die meisten davon wohl aus sicherer Distanz. Der Angriff auf die Coldcard-Wallets hat eine andere Qualität. Er führt schmerzhaft vor Augen, wie verwundbar man doch eigentlich ist. Kein ominöser Yield-Farming-Contract, keine schludrige Börse: Beim Wallet-Hack hätte es irgendwie jeden treffen können. Als sei man zuhause ausgeraubt worden. Der Fehler steckte in der Erzeugung neuer Wallet-Seeds: Bestimmte Coldcard-Geräte griffen nicht mehr auf den echten Zufallsgenerator der Hardware zu, sondern leiteten die Seeds aus vorhersehbaren Werten ab. Dadurch ließen sich Seed-Phrasen rekonstruieren – und mit ihnen der Private Key. Für Angreifer war das eine offene Einladung. Besonders bitter: Laut Dragonfly-Partner Haseeb Qureshi hätte ein KI-Audit wohl gerade einmal zwei US-Dollar gekostet, um die Schwachstelle aufzudecken. https://twitter.com/hosseeb/status/2084327870961508408 Wer haftet? Bis zum Coldcard-Hack hatten wohl die wenigsten diese potenzielle Lücke auf dem Schirm. Dabei hatte uns Coldcard selbst längst den Hinweis geliefert. In einem Tweet aus dem Jahr 2021 beschreibt der Hersteller unter dem Begriff "Retirement-Angriff" exakt das Szenario, das nun eingetreten ist: Entwickler könnten einen "Fehler" in die Zufallsgenerierung einbauen, und diesen irgendwann selbst ausnutzen. Rückblickend hat dieser Tweet zumindest einen schalen Beigeschmack. Der Vorfall lässt nicht nur Sicherheitsfragen offen, auch rechtlich bleiben einige Fragezeichen. Trägt der Wallet-Hersteller eine Verantwortung, vielleicht sogar eine Mitschuld? Lässt er sich überhaupt haftbar machen? Oder bedeutet Selbstverwahrung im Zweifel immer, allem und jedem schutzlos ausgeliefert zu sein? In der Rückschau wirken die einstigen Werbeversprechen des Anbieters jedenfalls geradezu bizarr: "COLDCARD macht 'Retirement'-Angriffe unmöglich – generieren Sie Ihre eigene Entropie und reproduzieren Sie diese nachweisbar!" https://twitter.com/COLDCARDwallet/status/1447213375398846473 "Immer Angst gemacht" Schon jetzt ist klar: Der Vorfall wird der Diskussion über richtige und sichere Verwahrlösungen viel Futter geben. Angesichts immer leistungsfähigerer KI-Modelle und der heranrückenden Quantencomputer stellen sich ganz grundlegende Fragen über die Sicherheitsarchitektur des gesamten Bitcoin-Ökosystems. Erste Stichproben lassen bereits nichts Gutes ahnen. Open-Source-Entwickler und Bitcoin-Lightning-Aktivist Rene Pickhardt gestand kürzlich öffentlich auf X: "Ich schämte mich zu sehr, es zuzugeben: Trotz des potenziellen Gewinns habe ich nie viel Bitcoin gekauft, weil mir Sicherheit und Schlüsselverwaltung immer Angst gemacht haben". Die Aussagen des Bitcoin-Experten lassen tief blicken. "Selbst bei perfekter Entropie gibt es immer noch Speicherrisiken, Software-Risiken sowie Fortschritte in Mathematik und Technologie, die die Kryptografie knacken könnten", so Pickhardt. https://twitter.com/renepickhardt/status/2085376999132954773 "Ich werde es wieder verdienen" Unter den Betroffenen herrscht derweil eine Mischung aus Entsetzen und Kampfgeist. Adam Carson berichtet auf X, satte 6,42 Bitcoin verloren zu haben – mehr als 400.000 US-Dollar. Doch von Aufgeben keine Spur. Sein Kommentar dazu: "Ich habe das Geld einmal verdient. Ich werde es wieder verdienen". https://twitter.com/punk4307/status/2083984227864076706 Auch Oliver Velez von Bitcoin Intelligence hat nach eigenen Angaben einige Bitcoin durch den Hack versenkt. Eine Self-Custody-Krise sieht er darin trotzdem nicht: "Die Lehre ist vielmehr, dass keine einzelne Komponente – kein Hersteller, kein Gerät und kein Verwahrer – das Fundament für dein gesamtes Vermögen bilden sollte und damit die einzige Sache ist, die zwingend funktionieren muss". Hinterher ist man eben immer klüger.

Bitcoin-Wallet Coldcard warnte uns vor Jahren vor sich selbst

Könnte der CLARTIY Act einen neuen FTX-Skandal verhindern?

17 Prozent Chance: Kippt das wichtigste Krypto-Gesetz?

Krypto-Gesetz: Was, wenn der Clarity Act scheitert?