Coinkite hat einen Sicherheitshinweis veröffentlicht, in dem alle Nutzer, die eine Seed-Phrase auf einem Coldcard Mk3 mit Firmware-Versionen 4.0.1 bis 5.0.3 generiert haben, dazu aufgefordert werden, ihre Wallets als potenziell kompromittiert zu betrachten und ihr Bitcoin unverzüglich zu migrieren. Coldcard ist eines der am weitesten verbreiteten reinen Bitcoin-Hardware-Wallets und richtet sich speziell an Nutzer, die souveräne Selbstverwahrung priorisieren, was einen Seed-Generierungsfehler auf Firmware-Ebene besonders bedeutsam macht. Die Warnung erfolgt, nachdem Blocks Bitcoin-Engineering- und Sicherheitsteams unzureichendes Verhalten bei der Seed-Generierung aufgedeckt hatten, während sie Berichte über entfernt geleerte Wallets untersuchten.

Der Hinweis betrifft spezifisch Mk3-Firmware ab März 2021, was bedeutet, dass betroffene Geräte möglicherweise jahrelang im Einsatz waren, bevor die Schwachstelle identifiziert wurde. Laut Coinkites Erstanalyse sind die Geräte Mk4, Q und Mk5 von der Schwachstelle nicht betroffen. Block-Forscher beschrieben jedoch zwei separate Schwachstellen, die verschiedene Coldcard-Generationen auf unterschiedlichen Schweregraden betreffen. Block bestätigte, dass weder Bitkey noch andere Block-Produkte betroffen sind.

Entwickler reproduzieren vorhersagbare Mk3-Seed-Generierung

Der Bitcoin-Core-Entwickler Gregory Sanders, online als instagibbs bekannt, hat die Mk3-Schwachstelle erfolgreich reproduziert – auf einem neu initialisierten Gerät nur mithilfe der Anzahl der Tastendrücke während des Setups. Die Möglichkeit, einen Seed aus so wenigen Eingaben zu rekonstruieren, deutet darauf hin, dass die Entropiequelle weit unter dem mathematischen Schwellenwert lag, der für eine sichere BIP-39-Schlüsselgenerierung erforderlich ist, bei der Zufälligkeit die einzige Barriere darstellt, die einen Angreifer daran hindert, die privaten Schlüssel eines Nutzers abzuleiten. Er riet davon ab, Mk2- und Mk3-Nutzern die Dringlichkeit der Gefährdung zu unterschätzen, und stellte fest, dass der Status des Mk4 durch seine Tests noch nicht bestätigt worden war.

Der Entwickler Antoine Poinsot identifizierte eine wesentliche Hardwareunterscheidung: Die Seed-Generierung des Mk4 nutzt den echten Zufallszahlengenerator des Mikrocontrollers, während die Mk3-Firmware diese Quelle nicht in gleicher Weise verwendete. Coinkites Versionshinweise für Version 4.0.0 aus dem März 2021 bestätigen, dass der gesamte kryptografische Code sowie der BIP-39-Code durch neue Implementierungen ersetzt wurde. Zach Herbert, CEO von Foundation Devices, verfolgte den offenbaren Entropiefehler auf ebendiese Umschreibung von 120 Dateien zurück, betonte jedoch, dass keine Beweise den Fehler mit der begleitenden Lizenzänderung in Verbindung bringen.

Block verfolgt potenziellen Umfang der Abflüsse bis zu 1.083 BTC

Die erste identifizierte Verschiebung bewegte 594,48 BTC aus 500 Single-Signature-Adressen über die Bitcoin-Blöcke 960188 bis 960191. Atlas21 zählte 1.324 ausgegebene UTXOs und stellte fest, dass 562 BTC in eine andere Adresse konsolidiert wurden, bevor die Sequenz endete.

Der Block-Ingenieur Clay Garrett markierte anschließend 695 frühere Transaktionen, die denselben vollständigen Fingerabdruck aufwiesen wie die bekannte Gruppe. Diese Überweisungen bewegten weitere 488.10957948 BTC, wodurch sich der potenzielle kombinierte Umfang auf 1.082.58680432 BTC erhöhte, falls beide Gruppen derselben Operation angehören. Zum Zeitpunkt der Berichterstattung betrug der Gesamtwert rund 69,6 Millionen US-Dollar, bei einem Bitcoin-Kurs in der Nähe von 64.247 US-Dollar.

Coinkite hat nicht bestätigt, dass die Firmware-Schwachstelle für jede Transaktion in beiden Gruppen verantwortlich ist. Blocks Team erklärte, dass der Angriff wahrscheinlich noch andauerte und die breitere Transaktionsgruppe noch verifiziert wird.

Betroffene Seeds müssen ersetzt, nicht neu importiert werden

Das Übertragen einer betroffenen Recovery-Phrase in eine andere Hardware- oder Software-Wallet löst das Problem nicht, da der zugrunde liegende Seed selbst vorhersagbar bleibt. Dies unterscheidet die Schwachstelle von Bedrohungen, die ausnutzen, wie Nutzer Seed-Phrasen speichern oder handhaben, wie etwa SparkKitty-Malware, die Handybilder nach Recovery-Phrasen durchsucht, oder BlueNoroff-Kampagnen, die Wallets über gefälschte Meeting-Anrufe profilieren. In diesen Fällen wurde der Seed korrekt generiert; hier war der Seed von vornherein niemals kryptografisch sicher.

Coinkite empfiehlt folgendes Migrationsverfahren: einen neuen Seed auf einem nicht betroffenen Gerät generieren, das Backup aufzeichnen und verifizieren, eine Empfangsadresse prüfen, eine kleine Testtransaktion senden und erst dann den restlichen Saldo übertragen. Nutzer, die nicht sofort migrieren können, können als vorläufige Schutzmaßnahme eine starke, einzigartige BIP-39-Passphrase erstellen. Fortgeschrittene Nutzer können alternativ einen reinen Würfel-Seed auf einem leeren Mk3 mit Firmware 4.1.9 mit mindestens 99 unabhängigen Würfen generieren.