Durch eine mutmaßliche Schwachstelle in Coldcard-Hardware-Wallets wurden am Freitag rund 594 Bitcoin im Wert von etwa 38 Millionen US-Dollar aus ungefähr 500 verschiedenen Wallets gestohlen. Die Transaktionen erfolgten innerhalb von nur drei Bitcoin-Blöcken. Rund 562 BTC wurden anschließend auf einer einzigen Adresse zusammengeführt und seitdem nicht weiterbewegt.
Fehler machte Bitcoin-Schlüssel berechenbar
Coldcard ist eine Hardware-Wallet des kanadischen Herstellers Coinkite, die Private Keys offline speichern soll. Laut einer vorläufigen Analyse der Bitcoin-Entwicklungs- und Sicherheitsteams von Block lag der Fehler jedoch ausgerechnet bei der Erzeugung dieser Schlüssel.
Durch eine fehlerhafte Softwareeinstellung wurde der hardwarebasierte Zufallszahlengenerator bestimmter Geräte offenbar übersprungen. Stattdessen erzeugte die Software die Schlüssel unter anderem anhand der Seriennummer des Chips und interner Zeitwerte.
Da diese Daten nicht geheim sind und sich zumindest teilweise eingrenzen lassen, könnten Angreifer daraus die privaten Schlüssel betroffener Wallets rekonstruiert haben. Die Sicherheitslücke soll auf eine im März 2021 veröffentlichte Änderung zurückgehen.
Welche Nutzer betroffen sein könnten
Entscheidend ist nicht, wann ein Gerät gekauft wurde, sondern mit welcher Firmware die Seed-Phrase ursprünglich erstellt wurde. Coinkite warnt insbesondere Nutzer, die auf einem Coldcard Mk3 mit Firmware-Version 4.0.1 oder neuer einen Seed generiert haben.
Die neueren Modelle Mk4, Q und Mk5 sind nach derzeitigem Stand nicht betroffen. Die Untersuchungen von Coinkite und Block sind allerdings noch nicht abgeschlossen.
Neben gewöhnlichen Wallet Seeds könnten auch weitere Funktionen betroffen sein, darunter Paper-Wallet-Schlüssel, Seed-Splitting-Verfahren, Schlüssel zum Klonen von Geräten und sogenannte Key-Teleport-Übertragungen.
Nutzer potenziell betroffener Geräte sollten ihre Bitcoin daher auf eine neue Wallet übertragen, deren Seed mit einer nachweislich sicheren Zufallsquelle erstellt wurde. Ein bloßes Firmware-Update reicht nicht aus, wenn die ursprüngliche Seed-Phrase bereits unsicher generiert wurde.
Auf den Bitcoin-Kurs hatte der Vorfall bislang kaum Auswirkungen. BTC notiert weiterhin oberhalb von 64.000 US-Dollar, während das Drama um Leopold Aschenbrenners KI-Fonds für eine Aktienrallye sorgte.
