Coldcard-Hersteller bestätigt Verluste durch 130 Millionen Dollar Hack nicht

Hacker haben schätzungsweise 1.596 bis 1.816 Bitcoin im Wert von 100 bis 130 Millionen Dollar von mehr als 7.300 Adressen gestohlen, die mit Coldcard-Hardware-Wallets verknüpft waren. Es handelt sich um den größten Hardware-Wallet-Exploit in der Geschichte der Kryptowährungen. Der Angriff, der am 30. Juli begann, nutzte eine fünf Jahre alte Firmware-Schwachstelle aus, die die Zufälligkeit bei der Generierung von Wallet-Seed-Phrasen schwächte. Dies ermöglichte es Angreifern, private Schlüssel per Brute-Force zu knacken, ohne jemals physischen Zugriff auf ein Gerät zu haben.crypto+2

Das in Toronto ansässige Unternehmen Coinkite, Hersteller der Coldcard, lehnte es am Mittwoch in einer Stellungnahme gegenüber Bloomberg ab, konkrete Schadenssummen zu bestätigen. "Wir sind nicht in der Lage, die Gesamtverluste unabhängig zu bestätigen oder die spezifischen Zahlen zu validieren, die von Dritten gemeldet werden", so das Unternehmen.bloomberg

Wie eine Zeile Code alles zerstörte

Die Schwachstelle geht auf ein Firmware-Update vom März 2021 zurück, das einen Konfigurationsfehler enthielt. Ein Makro namens MICROPY_HW_ENABLE_RNG, das auf Null gesetzt war, führte dazu, dass eine unterstützende kryptografische Bibliothek den dedizierten Hardware-Zufallszahlengenerator des Geräts umging und auf einen vorhersehbaren Software-Ersatz zurückgriff. Das Ergebnis: Seed-Phrasen auf Mk3-Geräten wurden mit etwa 40 Bit Entropie statt der vorgesehenen 128 Bit generiert, was die Sicherheit von einem praktisch unknackbaren Schloss auf ein Niveau reduzierte, das ein Computer in Minuten per Brute-Force knacken konnte.memeburn+1

Das Bitcoin-Sicherheitsteam von Block ↘ 3.68% veröffentlichte die vollständige technische Analyse, nachdem es den Fehler gemeinsam mit anonymen unabhängigen Forschern zurückverfolgt hatte. Galaxy Research verfolgte vier Angriffswellen: Die erste am 30. Juli räumte innerhalb von 41 Minuten 1.082 BTC von 1.196 Adressen ab; nachfolgende Wellen bis zum 4. August erhöhten die bestätigten Verluste auf 1.596 BTC, wobei eine vermutete vierte Welle die Gesamtsumme potenziell auf 2.055 BTC treiben könnte.crypto+2

Die Opfer haben alles richtig gemacht

Die grausamste Ironie des Angriffs ist, dass er die sicherheitsbewusstesten Bitcoin-Besitzer traf. "Das vielleicht Schwierigste daran ist, dass ich alles richtig gemacht habe", schrieb der kanadische Unternehmer Jonathan Goodman auf X, nachdem er 18,25 BTC im Wert von etwa 1,6 Millionen kanadischen Dollar von einer Coldcard verloren hatte, die in einem Bankschließfach aufbewahrt wurde. Tim Lamb, ein 38-jähriger Marketingexperte, dessen Seed auf einer Metallplatte in einem falschen Wörterbuch versteckt war, verlor im Urlaub zwei Bitcoin im Wert von rund 130.000 Dollar.news.bloomberglaw+1

Coinkite-CEO Rodolfo Novak entschuldigte sich am 31. Juli auf X: "Wir wissen, dass eine Entschuldigung niemandem sein Geld zurückgibt. Wir wissen, dass wir das Vertrauen unserer Nutzer zurückgewinnen müssen." Das Unternehmen veröffentlichte eine Notfall-Firmware, vernichtete verbleibende anfällige Bestände und stoppte die Auslieferungen, warnte jedoch, dass ein Patch bereits generierte Seeds auf kompromittierter Firmware nicht reparieren kann.crypto+2

Folgen verändern die Debatte über Eigenverwahrung

Der Vorfall hat einen zweijährigen Trend umgekehrt, bei dem Bitcoin von Börsen abgezogen wurden. CryptoQuant berichtete, dass Transfers unter 1 BTC am 31. Juli 39.600 BTC erreichten, was den Panikniveaus während des FTX-Zusammenbruchs 2022 nahekommt. Cantor Fitzgerald teilte Kunden mit, dass der Hack die Nachfrage in Richtung verwalteter Depotanbieter und Spot-Bitcoin-ETFs wie den iShares Bitcoin ↘ 0.29% Trust von BlackRock ↘ 0.54% lenken könnte, wobei Coinbase ↘ 1.46% und Robinhood ↘ 1.25% als potenzielle Profiteure genannt wurden.thestreet+1

Etwa 90 Prozent der gestohlenen Gelder liegen weiterhin unbewegt auf den vom Angreifer kontrollierten Adressen, obwohl Analysten einen Akteur identifiziert haben, der begann, etwa 64 BTC über den CoinJoin-Mixer von Wasabi Wallet zu leiten. Galaxy Research hat rund 600 verdächtige Angreifer-Adressen an US-Bundesstrafverfolgungsbehörden und Krypto-Börsen weitergegeben.coinpaper+2