Der Diebstahl von mehr als 1.000 BTC im Wert von rund 70 Millionen US-Dollar aus verwundbaren Coldcard-Bitcoin-Wallets zählt zu den bedeutendsten Hardware-Wallet-Kompromittierungen bisher. Da Angreifer weder physischen Zugriff auf die Geräte noch auf die Wiederherstellungsphrasen der Nutzer benötigten, gilt der Vorfall als besonders schwerwiegend.

Forscher schätzen inzwischen, dass 1.082,65 BTC aus 1.196 Wallets in einem koordinierten Sweep innerhalb von nur 41 Minuten am 30. Juli gestohlen wurden. Damit liegt der Wert fast doppelt so hoch wie die ursprüngliche Schätzung von 594 BTC. Laut Galaxy Research wurden die Mittel über sechs Bitcoin-Blöcke hinweg abgezogen, wobei die Wallets in schneller Folge geleert wurden.

BITCOIN | ~500 Bitcoin Hardware Wallet Addresses Get Drained of ~$40 Million

BITCOIN | ~500 Bitcoin Hardware Wallet Addresses Get Drained of ~$40 Million

Anders als bei den meisten Angriffen auf Hardware-Wallets, die sich typischerweise auf Social Engineering stützen – also darauf, Nutzer zur Preisgabe von Seed-Phrasen, zur Installation bösartiger Firmware oder zur Herausgabe ihrer Geräte zu bewegen –, zielte dieser Exploit auf den Wallet-Erstellungsprozess selbst. Ein im März 2021 eingeführter Firmware-Fehler führte dazu, dass betroffene Coldcard-Mk3-Geräte Recovery-Seed-Phrasen mit vorhersehbarer, softwarebasierter Zufallszahlenerzeugung statt mit dem sicheren hardwarebasierten Zufallszahlengenerator des Geräts erzeugten.

Damit konnten Angreifer die privaten Schlüssel der Opfer aus der Ferne mathematisch rekonstruieren, ohne jemals die Hardware-Wallets zu berühren. Es handelt sich um einen der selten dokumentierten Fälle, in denen ein Fehler bei der Entropieerzeugung der Wallet – nicht Nutzerfehler oder Phishing – direkt zu einem Diebstahl im großen Stil führte.

CASE STUDY | Why This Decentralized Protocol is Giving Top Priority to Operational Security

CASE STUDY | Why This Decentralized Protocol is Giving Top Priority to Operational Security

1.) Eine neue Wallet wird erstellt. Während der Einrichtung soll die Coldcard-Hardware-Wallet eine kryptografisch sichere Zufallszahl erzeugen. Diese Zahl, Seed genannt, bildet die Grundlage für die Sicherheit der Wallet.

2.) Der Seed wird zur Erzeugung aller Wallet-Zugangsdaten verwendet. Jeder private Schlüssel, jeder öffentliche Schlüssel und jede Kryptowährungsadresse, die die Wallet jemals erzeugen wird, wird mithilfe standardisierter, öffentlich bekannter Algorithmen mathematisch aus diesem Seed abgeleitet. Solange der Seed unvorhersehbar bleibt, bleibt die Wallet sicher.

3.) Coldcard ist so konzipiert, dass ein hardwarebasierter Zufallszahlengenerator verwendet wird. Im Normalbetrieb bezieht die Firmware der Wallet Entropie von einem dedizierten hardwarebasierten Zufallszahlengenerator (RNG) und erzeugt damit einen Seed, der praktisch unmöglich vorherzusagen oder zu reproduzieren ist.

4.) Eine Firmware-Build-Konfiguration deaktiviert den Hardware-RNG. Eine interne Build-Einstellung weist die Firmware fälschlicherweise an, den hardwarebasierten Zufallszahlengenerator bei der Wallet-Erstellung zu umgehen.

5.) Ein Software-Validierungsfehler erkennt das Problem nicht. Anstatt zu prüfen, ob der Hardware-RNG tatsächlich aktiviert war, überprüft eine unterstützende Softwarebibliothek nur, ob die Konfigurationsoption existiert. Wegen dieser fehlerhaften Validierung fährt die Firmware fort, ohne irgendeinen Fehler auszulösen.

6.) Die Wallet weicht auf eine schwächere softwarebasierte Zufallsquelle aus. Statt unvorhersehbarer hardwarebasierter Entropie erzeugt die Firmware den Seed mit einer einfachen Software-Routine.

7.) Die Ersatz-Zufälligkeit stützt sich auf vorhersehbare Geräteinformationen. Die Software-Routine wird mit folgenden Werten gespeist:

der werkseitig zugewiesenen Seriennummer des Geräts, die sich nie ändert, und

den Taktregistern des Chips, deren Werte von einem Angreifer mithilfe eines anderen Geräts geschätzt oder reproduziert werden können.

8.) Die Anzahl möglicher Wallet-Seeds sinkt drastisch. Statt aus einer astronomisch großen Zahl möglicher Seeds zu wählen, kann die Wallet nur noch eine viel kleinere, endliche Menge erzeugen.

Bei älteren Coldcard-Mk2- und Mk3-Geräten stellten Forscher fest, dass die Seed-Erzeugung direkt bestimmt werden konnte. Bei den Modellen Mk4, Q und Mk5 wurde der mögliche Seed-Raum auf etwa 4 Milliarden Kombinationen reduziert.

Bei älteren Coldcard-Mk2- und Mk3-Geräten stellten Forscher fest, dass die Seed-Erzeugung direkt bestimmt werden konnte.

Bei den Modellen Mk4, Q und Mk5 wurde der mögliche Seed-Raum auf etwa 4 Milliarden Kombinationen reduziert.

9.) Angreifer erzeugen alle möglichen Seeds offline. Da vier Milliarden Möglichkeiten für moderne Computer gut beherrschbar sind, kann ein Angreifer systematisch jeden Kandidaten-Seed auf eigener Hardware erzeugen.

10.) Jeder Kandidaten-Seed wird in Wallet-Adressen umgewandelt. Für jeden erzeugten Seed leitet der Angreifer alle entsprechenden Kryptowährungsadressen unter Verwendung derselben öffentlichen Ableitungsstandards ab, die auch die Wallet verwendet.

11.) Der Angreifer vergleicht die erzeugten Adressen mit der Blockchain. Da Blockchain-Adressen und Guthaben öffentlich sind, prüft der Angreifer, ob eine erzeugte Adresse mit einer Adresse übereinstimmt, die Kryptowährung enthält.

12.) Es ist keine Interaktion mit der Wallet des Opfers erforderlich. Der gesamte Angriff wird offline durchgeführt. Die Coldcard des Opfers muss niemals mit dem Internet verbunden, entsperrt oder physisch zugänglich sein. Sie könnte ausgeschaltet in einem Tresor verbleiben, während der Angreifer die Suche anderswo durchführt.

13.) Der Angreifer wiederholt den Prozess über mehrere Adressformate hinweg. Laut Galaxys Analyse gehörten zu den kompromittierten Wallets:

1.183 mit modernen Native-SegWit-Adressen, 7 mit älteren SegWit-Adressen und 6 mit Legacy-Adressformaten.

1.183 mit modernen Native-SegWit-Adressen,

7 mit älteren SegWit-Adressen und

6 mit Legacy-Adressformaten.

14.) Das Muster deutet auf automatisierte Enumeration statt auf gezielte Angriffe hin. Statt einzelne Opfer anzugreifen, testete der Angreifer systematisch jeden möglichen Seed und jeden Ableitungspfad für Adressen, bis gefüllte Wallets gefunden wurden.

15.) Die Suche kann unbegrenzt fortgesetzt werden. Da der Angriff vollständig offline erfolgt, kann der Angreifer den Enumerationsprozess jederzeit pausieren, erweitern, verfeinern und fortsetzen, wodurch die Wahrscheinlichkeit steigt, weitere verwundbare Wallets zu entdecken.

Der Vorfall stellt eine der zentralen Sicherheitsannahmen von Bitcoin infrage:

dass Hardware-Wallets starken Schutz bieten, solange Nutzer ihre Wiederherstellungsphrasen offline aufbewahren.

In diesem Fall erzeugten die Wallets selbst schwache Seed-Phrasen, sodass selbst korrekt gelagerte Geräte noch Jahre nach ihrer Erstellung verwundbar waren.

Die Schwachstelle betrifft nur Coldcard-Mk3-Wallets, die während des betroffenen Zeitraums mit Firmware-Version 4.0.1 oder höher erstellt wurden; neuere Coldcard-Modelle gelten nicht als betroffen. Der Angriff zeigt, wie selbst vertrauenswürdige Hardwaresicherheit untergraben werden kann, wenn die kryptografische Zufälligkeit bereits beim Erstellen der Wallet versagt.

CASE STUDY | Why This Decentralized Protocol is Giving Top Priority to Operational Security

CASE STUDY | Why This Decentralized Protocol is Giving Top Priority to Operational Security

Bleiben Sie bei BitKE über globale Bitcoin-Entwicklungen auf dem Laufenden.

Treten Sie hier unserem WhatsApp-Kanal bei.

Folgen Sie uns auf X für die neuesten Beiträge und Updates

Treten Sie unserer Telegram-Community bei und interagieren Sie mit ihr

---