CZ rät nach 70-Millionen-Dollar-Schwachstelle bei Coldcard zur Wallet-Diversifizierung

Binance-Gründer ↗ 0.54% Changpeng Zhao hat Krypto-Anleger dazu aufgerufen, ihre Bestände auf mehrere Wallets zu verteilen, nachdem eine Firmware-Sicherheitslücke in Coldcard-Hardware-Wallets es einem Angreifer ermöglichte, innerhalb von etwa 40 Minuten Bitcoin ↘ 0.29% im Wert von rund 70 Millionen US-Dollar zu stehlen.

"Selbst Hardware-Wallets können Fehler haben. Selbst alte Wallets (mit langer Historie) können Fehler haben", schrieb Zhao am Samstag auf X. "Wie schützt man sich? Vielleicht, indem man sein Geld auf mehrere Wallets aufteilt? Das bringt eigene Risiken mit sich. Nichts ist zu 100 Prozent sicher. Bleiben Sie informiert. Bleiben Sie SAFU!"cryptonews+1

Der Angriff

Der Diebstahl begann am 30. Juli, als ein Angreifer eine Schwachstelle bei der Generierung kryptografischer Schlüssel auf bestimmten Coldcard-Modellen ausnutzte. Erste On-Chain-Analysen ergaben, dass laut CoinDesk innerhalb eines Fensters von 25 Minuten rund 594 Bitcoin, was etwa 38 Millionen US-Dollar entspricht, aus rund 500 Wallets abgezogen wurden. Spätere Untersuchungen von Galaxy Digital weiteten das Ausmaß auf 1.082 Bitcoin im Wert von rund 70 Millionen US-Dollar aus, die innerhalb von etwa 41 Minuten von 1.196 Adressen entwendet wurden.coindesk+2

Die Schwachstelle reichte bis zur Firmware-Version 4.0.1 aus dem März 2021 zurück. Diese führte dazu, dass die Seed-Generierung auf einen schwachen softwarebasierten Pseudozufallszahlengenerator zurückgriff, anstatt den echten Zufallszahlengenerator der Hardware zu nutzen. Dadurch wurden die privaten Schlüssel für Single-Signature-Wallets so vorhersehbar, dass ein Angreifer sie offline rekonstruieren konnte, wie Bitcoin Magazine berichtete. Viele der betroffenen Wallets waren seit Jahren inaktiv.bitcoinmagazine+1

Reaktionen von Coinkite

Der Coldcard-Hersteller Coinkite erklärte zunächst, die Schwachstelle betreffe nur Mk3-Geräte, räumte jedoch später ein, dass alle Modelle gefährdet waren, nachdem weitere Diebstähle bekannt wurden, wie Forbes berichtete. Das Unternehmen veröffentlichte Notfall-Firmware-Updates und riet betroffenen Nutzern, auf den aktualisierten Geräten völlig neue Seeds zu erstellen und die Mittel vorsichtig zu übertragen.forbes

"Das Aktualisieren der Firmware repariert keinen Seed, der von einer betroffenen Firmware generiert wurde", schrieb Coinkite. "Es muss ein neuer Seed generiert und das Guthaben auf die neue Wallet übertragen werden."forbes

Ingenieure von Block, dem vom Jack Dorsey gegründeten Zahlungsunternehmen, gaben an, dass der Angreifer für das Abfragen der Zieladressen während der Diebstähle wahrscheinlich ein kostenpflichtiges Konto bei einem Blockchain-Dienstleister genutzt hat.bitcoinmagazine

Breitere Auswirkungen

Der Vorfall hat die Debatte über die Grenzen der Eigenverwahrung (Self-Custody) von Kryptowährungen neu entfacht. Hardware-Wallets gelten allgemein als eine der sichersten Optionen zur Offline-Verwahrung digitaler Vermögenswerte. Der Coldcard-Fall zeigt jedoch, dass selbst lang etablierte Geräte jahrelang unentdeckte Schwachstellen enthalten können. Zhaos Aufruf zur Diversifizierung verdeutlicht die Abwägung: Die Aufteilung von Geldmitteln verringert das Risiko eines einzelnen Schwachpunkts (Single Point of Failure), erfordert jedoch eine komplexere Schlüsselverwaltung.tradersunion+1

Die Forschungsabteilung von Galaxy Digital riet Bitcoin-Haltern, ihre Mittel von Coldcard-Single-Signature-Adressen abzuziehen und in sicherere Verwahrungslösungen zu übertragen.bitcoinmagazine