Die Schwachstelle hinter mehr als 83 Millionen US-Dollar an Bitcoin-Diebstählen über Coldcard stellt weit mehr als das Versagen eines einzelnen Hardware-Wallets dar, so Casa-Mitgründer Jameson Lopp. Sie signalisiert einen breiteren Wandel in der Cybersicherheit, da künstliche Intelligenz den Zeitrahmen verkürzt, in dem sowohl Angreifer als auch Verteidiger Software-Schwachstellen entdecken. Hardware-Wallets gelten seit langem als Goldstandard für Self-Custody, da sie private Schlüssel offline halten, was diese Sicherheitsverletzung besonders bedeutsam für das Vertrauen der Nutzer in diese Produktkategorie macht.

In The Block's The Starting Block Podcast argumentierte Lopp, dass große Sprachmodelle (LLMs) die Softwaresicherheit verändern, indem sie die Kosten für die Fehlerfindung drastisch senken.

"Fortschritte bei großen Sprachmodellen verändern die Sicherheitslandschaft drastisch", sagte Lopp. Er beschrieb den Coldcard-Vorfall als eines der frühesten konkreten Beispiele für dieses Phänomen, von dem er erwartet, dass es Auswirkungen auf die gesamte Hardware-Wallet-Branche haben wird.

Ein Wettlauf mit beidseitigen Konsequenzen

Nach Lopps Einschätzung geht es beim Coldcard-Einbruch weniger um fehlerhafte Hardware als vielmehr um eine sich verändernde Software-Sicherheitslandschaft. KI-gestützte Codeanalyse, einst der ausschließliche Bereich gut finanzierter Sicherheitsteams, ist heute Mainstream geworden. Infolgedessen können Angreifer nun öffentliche Code-Repositories nach übersehenen Schwachstellen durchsuchen, bevor die Entwickler selbst diese identifizieren.

Coinkite-CEO Rodolfo Novak kam zu einer ähnlichen Einschätzung, während er die Verantwortung seines Unternehmens für den Firmware-Fehler anerkannte. Er bezeichnete den Vorfall als "eine ernüchternde Realität des neuen KI-Paradigmas" und stellte fest, dass KI-gestützte Audits Fehler weitaus schneller aufdecken können als herkömmliche manuelle Überprüfungen.

Bemerkenswerterweise hatte Coinkite, wie von TradingView berichtet, vor dem Hack tatsächlich eine KI-Anwendung zur Analyse seines Codes eingesetzt. Diese Analyse konnte die Schwachstelle nicht erkennen — was die Tatsache unterstreicht, dass Angreifer und Verteidiger nun über vergleichbare KI-Tools verfügen, wobei der Vorteil demjenigen zufällt, der die Schwachstelle zuerst findet.

Technische Details der Schwachstelle

Der Fehler resultierte daraus, wie bestimmte Coldcard-Firmware-Versionen Wiederherstellungsschlüssel für Wallets generierten. Gemäß den von Blocks Bitcoin-Engineering- und Sicherheitsteam geteilten Informationen und berichteten der New York Post verwendeten die betroffenen Geräte vorhersagbare Chip-Daten — wie Prozessoren-Seriennummern und Taktinformationen — anstelle kryptografisch korrekter Zufallszahlen zur Schlüsselgenerierung.

Dies ermöglichte es Kriminellen, die Wiederherstellungsphrasen der Wallets zu rekonstruieren und Gelder zu stehlen, ohne physisch auf die Geräte zugreifen zu müssen. Die Schwachstelle blieb mehr als drei Jahre lang unentdeckt — die fehlerhafte Firmware wurde im März 2021 eingeführt und erst mit Version 4.21 behoben — was veranschaulicht, wie subtile kryptografische Schwachstellen selbst in Produkten mit hoher Sicherheitsanwendung bestehen können.

Gemäß Coinkite reicht ein einfaches Firmware-Update nicht aus. Nutzer, die Wallets auf den betroffenen Versionen erstellt haben, müssen einen vollständig neuen Recovery-Seed generieren und ihre Gelder übertragen, da die Schwachstelle mit der ursprünglichen Seed-Phrase verknüpft ist.

Galaxy Research berichtete, dass Kriminelle am 30. Juli innerhalb von etwa 40 Minuten 1.082,65 BTC aus 1.196 Wallets stahlen. Weitere Angriffswellen folgten, darunter eine von Alex Thorn von Galaxy beobachtete, die sich gegen Multi-Signature-Wallet-Nutzer zu richten schien, während frühere Angriffe ausschließlich Single-Signature-Nutzer ins Visier genommen hatten.

Der bekannte Bitcoin-Kommentator Guy Swann bezeichnete den Vorfall als "den schwersten Schlag in der Bitcoin-Geschichte" für gewissenhafte Kryptowährungsbesitzer.

Die Grenzen von "Don't Trust, Verify"

Für Lopp offenbart die Sicherheitsverletzung auch die praktischen Grenzen eines der gefeiertsten Prinzipien von Bitcoin: "Don't Trust, Verify."

"Es ist ein guter Leitsatz", räumte er ein, "aber man muss verstehen, dass die Verifizierung komplexer Software und Hardware für 99,9 % der Bevölkerung einfach nicht durchführbar ist."

Lopp argumentierte, dass Nutzer unweigerlich darauf angewiesen sind, Drittparteien zu vertrauen, um Informationen zu validieren. Anstatt Self-Custody aufzugeben, befürwortet er, dass Nutzer dieses Vertrauen über mehrere Hardware-Wallets und Software-Anwendungen streuen.

Zach Herbert, CEO von Foundation, stimmte im Podcast zu und erklärte, es wäre "wirklich gefährlich", aufgrund eines einzigen Vorfalls zu schließen, dass Self-Custody gescheitert sei. Stattdessen, so argumentierte er, müsse die Industrie ihre Sicherheitspraktiken stärken.

Lorenzo Valente von ARK Invest stellte fest, dass viele Nutzer effektiv das Kontrahentenrisiko von Börsen eingetauscht haben gegen "Softwarerisiko, Hardware-Risiko, Supply-Chain-Risiko, Phishing-Risiko, Backup-Risiko."

Das Plädoyer für unabhängige Audits

Der Vorfall hat die Forderungen nach unabhängigen Firmware-Audits durch Dritte neu entfacht, anstatt sich ausschließlich auf die Eigenüberprüfung der Hersteller zu verlassen. Andrew Lazutkin, Chief Technology Officer bei Tangem, warnte davor, dass öffentlich zugänglicher Code nicht automatisch als sicher angenommen werden sollte. "Sicherheit entsteht durch starke Architektur, gründliches Testen und unabhängige Verifizierung", sagte er.

Lopp bemerkte, dass in den vergangenen Jahren bei Hardware-Wallets etwa "ein Dutzend Mal" größere Schwachstellen offengelegt wurden, und äußerte die Überzeugung, dass jeder dieser Vorfälle zur Stärkung der Industrie beigetragen habe. Coldcards Open-Source-Firmware-Modell ermöglicht zwar Community-Überprüfungen, bedeutet aber auch, dass derselbe öffentlich verfügbare Code für mit KI ausgestattete Angreifer zugänglich ist, die Repositories nach ausnutzbaren Schwachstellen durchsuchen.

Die offene Frage ist nun, ob Coinkite sein versprochenes technisches Post-Mortem umsetzen und umfassendere unabhängige Sicherheitsbewertungen durchführen wird — bevor mit KI ausgestattete Angreifer die nächste Schwachstelle aufdecken.