Nach der Offenlegung einer schwerwiegenden Schwachstelle mit niedriger Entropie in Coldcard-Hardware-Wallets — die mit öffentlich beobachteten Diebstählen in Verbindung steht, die am 30. Juli begannen — überdenken Bitcoin-Besitzer die Vertrauensannahmen, die ihren Self-Custody-Setup zugrunde liegen. Angreifer haben die Schwachstelle ausgenutzt, um private Schlüssel per Brute-Force zu knacken, was zum Diebstahl von über 100 Millionen US-Dollar an BTC führte.

Coldcard, hergestellt von Coinkite, galt weithin als eine der sicherheitsorientiertesten Hardware-Wallets im Bitcoin-Ökosystem und wurde speziell für ihr Air-Gap-Design und die Unterstützung fortschrittlicher Funktionen wie Multisig und PSBT-Workflows vermarktet. Die Verletzung dieser Positionierung hat die Prüfung verschärft, wie Hardware-Wallet-Hersteller ihre sicherheitskritischsten Codepfade implementieren und warten.

Wie die Coldcard-Entropieschwachstelle funktionierte

Coldcard-Geräte waren mit STM32-„True Random Number Generators" (TRNGs) ausgestattet, die darauf ausgelegt waren, sich auf physische Prozesse zu verlassen, um unratbare Seed-Phrasen zu erzeugen. Eine kritische Schwachstelle scheint jedoch eingeführt worden zu sein, als Coldcard-Ersteller NVK eine Firmware-Neuschreibung initiierte, um das Projekt von einem GPL-lizenzierten Free-Software-Modell auf ein Read-Only-Modell umzustellen.

Beginnend mit der Firmware-Version 4.0.1, die im März 2021 veröffentlicht wurde, verwendeten die Geräte den Pseudo-Zufallszahlengenerator Yasmarang von MicroPython (PRNG) anstelle des ordnungsgemäßen Einsatzes des STM32-Hardware-RNG. Diese Abweichung umging die hardwarebasierte Entropiequelle effektiv. Die Generierung von Zufallszahlen bleibt ein grundlegend schwieriges Problem in der Informatik, weshalb die Erstellung sicherer, unratbarer privater Schlüssel immer zumindest teilweise auf externen physischen Prozessen beruhen muss. Der Wegweg von der GPL-Lizenzierung verringerte auch die Fähigkeit unabhängiger Entwickler, Firmware-Änderungen in Echtzeit zu prüfen — ein Konflikt, den die Open-Source-Hardware-Wallet-Community seit langem als systemisches Risiko eingestuft hat.

Analysten bezeichneten die Verwendung von Yasmarang weithin als vorprogrammierten Fallback. Coinkite, der Hersteller hinter Coldcard, bestritt diese Charakterisierung in einem kürzlichen X-Post.

Die Möglichkeit, dass Coldcards standardmäßig eine offensichtlich unsichere Seed-Generierungsmethode verwendeten, heizte auf X Spekulationen darüber an, ob die Schwachstelle eine absichtlich platzierte Hintertür war. Der investigative Bitcoin-Journalist Hodlnaut spekulierte, dass der Fehler aus nachlässigen Entwicklungspraktiken und Versuchen entstand, Fehler durch willkürliche Codeänderungen zu unterdrücken.

Nach Coinkites eigenen Schätzungen generierten Mk2- und Mk3-Geräte Seeds mit nur etwa 40 Bit Entropie, während die Modelle Mk4, Mk5 und Q etwa 70 Bit erreichten. Beide Werte bleiben weit hinter den 128 Bit zurück, die für eine sichere 12-Wörter-Seed-Phrase erforderlich sind.

Verwandt: Coldcard-Hacker übertragen 64 BTC und 200 ETH an Kryptowährungs-Mixer

Die Wahrscheinlichkeit, dass eine bestimmte Wallet kompromittiert werden konnte, hing davon ab, ob der Benutzer zusätzliche Würfel-Entropie hinzugefügt oder eine BIP-39-Passphrase in Kombination mit einem nicht standardmäßigen Derivationspfad verwendet hatte.

James O'Beirne startete anschließend cktripwire, eine Website mit Honeypot-Adressen, die darauf ausgelegt ist, festzustellen, welche Wallet-Konfigurationen von Angreifern aktiv geleert werden.

Coinkite hat außerdem eine offizielle Warnung zur Seed-Generierung für betroffene Geräte veröffentlicht.

Wie physische Entropie einige Wallets schützte

Der Coldcard-Exploit hat eines der Grundprinzipien der Bitcoin-Community drastisch bekräftigt: Don't trust, verify.

Benutzer, die sich weigerten, sich in der sicherheitskritischsten Phase auf eine undurchsichtige Hardware-Komponente zur Entropiegenerierung zu verlassen — und stattdessen eine ausreichende Anzahl physischer Würfelwürfe verwendeten — waren vollständig vor dem Exploit geschützt. Das Würfeln ist ein einfacher, sichtbar transparenter Prozess, den jeder gewöhnliche Benutzer selbst prüfen und intuitiv verstehen kann. Die Verifizierung eines TRNG hingegen würde eine detaillierte physische Inspektion der Elektronik des Geräts und eine gründliche Untersuchung der Firmware erfordern.

Während einige Kommentatoren die jüngsten Ereignisse als Beweis dafür angeführt haben, dass Self-Custody grundlegend fehlerhaft sei, lässt die Einhaltung von Entropie-Best-Practices einem Remote-Angreifer nur sehr wenige Angriffswege. Wenn eine Seed-Phrase durch physische Entropie statt durch hardwareabhängige Prozesse generiert wird, wird der einzige wirklich kritische Fehlerpunkt bei der Wallet-Erstellung eliminiert.

Der erweiterte öffentliche Schlüssel (xpub) und die aus dem Seed abgeleiteten Empfangsadressen können durch Importieren des Seeds in mehrere unabhängige Geräte quergeprüft werden. Nonce-Exfiltration über ein Air-Gap hinweg kann ebenfalls erkannt werden, indem bestätigt wird, dass zwei Geräte identische RFC 6979-konforme Signaturen erzeugen, wenn sie dieselbe unsignierte Transaktion verarbeiten.

Sichere Entropiegenerierung ist somit die absolute Voraussetzung für eine sichere Wallet. Seit der Coldcard-Exploit öffentlich wurde, zirkulieren auf X verschiedene Methoden und Vorschläge für vertrauenswürdige Entropiegenerierung.

Der beliebteste Ansatz besteht darin, die Fähigkeit des Geräts zu überprüfen, Würfelaugen korrekt in eine BIP-39-Seed-Phrase umzuwandeln, indem ein SHA-256-Hash angewendet wird. Mit über 100 Würfelwürfen lässt sich ausreichend Entropie für einen 24-Wörter-Seed generieren.

Einfachere papierbasierte Methoden, wie die von Bitbox veröffentlichte Nachschlagetabelle, unterteilen die BIP-39-Wortliste so, dass eine Kombination aus sechs Würfelwürfen und einem Münzwurf direkt einem Seed-Wort zugeordnet werden kann, ohne ein elektronisches Gerät zu verwenden.

Fortgeschrittenere Werkzeuge, wie das codex32-Würfel-De-Biasing-Arbeitsblatt, verwenden einen Von-Neumann-Extraktor — ein vollständig per Hand berechenbares Verfahren —, um selbst mit verzerrten Würfeln eine sichere Seed-Phrase zu erzeugen.

Eine Alternative zum Würfeln besteht darin, die vollständige BIP-39-Wortliste auszudrucken, die Wörter in gleichmäßige Papierstreifen zu schneiden, sie gründlich zu mischen und 24 Wörter zufällig zu ziehen. Produkte wie Seedsticks oder Entropia bieten bequemere und robustere Implementierungen dieser Methode.

Spezialisierte Hardware wie Frostsnap versucht, die Entropiegenerierung überprüfbar über mehrere Geräte zu verteilen. Einige Benutzer haben sogar begonnen, eigene physische Entropiegeräte zu entwerfen, die Seed-Phrasen fast genauso schnell erzeugen können wie ein dediziertes elektronisches Wallet.

Magazin: Bedeuten die Coldcard-Angriffe, dass alle Hardware-Wallets nun unsicher sind?