Coinkite hat eine Warnung an die Besitzer seines Coldcard Mk3-Hardware-Wallets herausgegeben: Jeder Bitcoin-Seed, der seit März 2021 generiert wurde, könnte aufgrund eines entdeckten Fehlers anfällig sein, der diese Seeds vorhersagbar machen könnte. Coldcard-Geräte werden speziell für reine Bitcoin-Cold-Storage-Lösungen mit Air-Gap-Sicherheit vermarktet, was einen Fehler bei der Seed-Vorhersagbarkeit besonders bedeutend für Nutzer macht, die das Produkt aufgrund seines gehärteten Sicherheitsmodells gewählt haben. Die Ankündigung fiel mit einem schwerwiegenden Vorfall zusammen, bei dem etwa 594 BTC – im Wert von rund 38 Millionen US-Dollar – aus rund 500 Wallets abgezogen wurden.

Betroffene und nicht betroffene Modelle

Die Schwachstelle betrifft die Firmware, nicht die Hardware. Laut dem Bitcoin-Engineering- und Sicherheitsteam von The Block lief auf dem Mk1 nie der fehlerhafte Code. Mk2- und Mk3-Geräte mit Firmware-Version 3.2.2 oder höher generierten anfänglich korrekt Seeds unter Verwendung eines hardwarebasierten Zufallszahlengenerators.

Die Schwachstelle tritt erstmals in Firmware-Version 4.0.0 auf. Jeder Mk2- oder Mk3-Seed, der mit Firmware-Versionen zwischen 4.0.0 und 4.1.9 erstellt wurde, fällt unter einen „bestätigten verwundbaren Pfad“, da das Gerät seine Zufallsquelle nicht sicher neu initialisierte. Coinkite erstreckt diese Warnung bis zur Firmware-Version 5.0.3, der letzten Firmware-Version, die das Mk3 unterstützt.

Ursprünglich erklärte Coinkite, dass nur das Mk3 betroffen sei, während neuere Modelle – Mk4, Q und Mk5 – als „nach unserer vorläufigen Analyse nicht betroffen“ eingestuft wurden. In einer späteren Mitteilung räumte das Unternehmen jedoch ein, dass diese neueren Modelle ebenfalls Seeds mit nur 72 Bit Entropie statt der vorgesehenen 128 Bit generieren, wenn auch über einen anderen Mechanismus aufgrund ihres abweichenden Designs. Laut The Block beziehen Mk4, Q und Mk5 Entropie aus einem Secure Element, speichern jedoch nur vier Bytes davon, was die Anzahl möglicher Seed-Generierungspfade einschränkt.

Coinkite bestätigte, dass seine Produkte Tapsigner, Opendime und Satscard vollständig andere Codebasen verwenden und nicht betroffen sind.

Der 38-Millionen-Dollar-Abzug

Der Angriff verlief rasch. Am Freitag wurden etwa 500 Wallets – jede mit mehr als 0,15 BTC – zwischen 01:31 und 01:56 UTC geleert. Viele dieser Wallets waren jahrelang inaktiv gewesen, mit Coin-Aktivitäten, die bis in die Jahre zwischen 2021 und 2026 zurückreichten.

Rob Hamilton, CEO von AnchorWatch, berichtete auf X, dass er 1.324 ausgegebene Outputs in 500 Transaktionen über drei Blöcke hinweg verfolgte, wobei 562 BTC anschließend in einer einzigen Adresse zusammengeführt wurden.

Die Gesamtsumme könnte höher sein. Block-Ingenieur Clay Garrett identifizierte weitere 695 Transaktionen mit derselben Signatur wie die bestätigten Diebstähle, die zusammen etwa 488,1 BTC bewegten. Wenn alle verknüpften Transaktionen einbezogen werden, könnte die Gesamtsumme rund 1.082 BTC erreichen. Coinkite hat noch nicht überprüft, ob der Wallet-Abfluss durch den Firmware-Fehler verursacht wurde.

Technische Ursache

Sichere Zufallszahlengenerierung ist die Grundlage aller Kryptowährungs-Schlüsselsicherheit; wenn sie versagt, können Seeds potenziell aus öffentlich beobachtbaren Informationen abgeleitet werden, was das gesamte Sicherheitsmodell zusammenbrechen lässt. The Block führte das Problem auf eine Firmware-Konfiguration zurück, die den hardwarebasierten Zufallszahlengenerator des Mk3 deaktiviert hatte. Eine in Verbindung mit der Firmware verwendete Bibliothek prüfte lediglich, ob die Konfigurationseinstellung vorhanden war – nicht, ob sie aktiviert oder deaktiviert war. Infolgedessen fiel die Schlüsselgenerierung auf eine softwarebasierte Methode zurück, die sich auf öffentlich bekannte Werte wie die Seriennummer und die Taktregister des Geräts stützte.

Coinkite führte das Problem auf einen Code-Commit vom 1. März 2021 zurück, der erstmals in Firmware-Version 4.0.0 integriert wurde. Das Unternehmen erklärte, dass es die Schwachstelle offengelegt habe, bevor es seine vollständigen Tests abgeschlossen habe, da „eine aktive Ausnutzung im Gange ist“.

Empfohlene Maßnahmen für Besitzer

Coinkites Empfehlungen hängen davon ab, wie das jeweilige Wallet konfiguriert wurde. Nach der vorläufigen Einschätzung des Unternehmens besteht für Nutzer, die zusätzlich zur PIN eine separate BIP-39-Passphrase verwendet haben, ein sehr geringes Risiko, ihre Gelder zu verlieren – vorausgesetzt, die Passphrase wurde nie in ein Smartphone, einen Computer oder eine Website eingegeben.

Allen anderen Nutzern wird geraten, ihre Gelder zu transferieren. Coinkite empfiehlt, einen neuen Seed auf einem nicht infizierten Gerät zu erstellen, die Korrektheit der Backup- und Empfangsadressen zu überprüfen, zunächst eine kleine Testtransaktion zu senden und erst dann den restlichen Kontostand zu übertragen.

Das Unternehmen beschreibt außerdem eine fortgeschrittene Würfel-Methode, die den Zufallszahlengenerator des Geräts vollständig umgeht. Coinkite warnt jedoch Nutzer davor, überstürzt zu handeln, und weist darauf hin, dass Fehler bei der Wiederherstellung größeren Schaden verursachen könnten als die Schwachstelle selbst.

Aussichten auf Wiedererlangung

Eine Wiedererlangung des gestohlenen Bitcoins wird als unwahrscheinlich eingestuft. Bitcoin-Transaktionen sind ihrer Natur nach unwiderruflich, und obwohl das öffentliche Hauptbuch der Blockchain gestohlene Gelder prinzipiell nachverfolgbar macht, nutzen Angreifer häufig Mixing-Services oder andere Techniken, um Geldflüsse zu verschleiern. Der Vorfall unterstreicht die Bedeutung der Bewertung von Hardware-Wallets anhand überprüfbarer Kriterien wie unabhängigen Sicherheitsaudits, reproduzierbarer Firmware, Zertifizierungen, Offenlegungspraktiken und dem Umgang mit Schwachstellen – Faktoren, die insbesondere im Nachgang des Coldcard-Mk3-Vorfalls relevant sind.