Schwerwiegender Bitcoin-Wallet-Fehler leert 594 BTC in 25-minütigem Sweep

Ein Coldcard-Zufallsfehler machte „nicht zu erratende“ Seeds erratbar — und 38 Millionen US-Dollar sind bereits verschwunden.

Ein Angreifer nutzte einen Fehler in der Art und Weise aus, wie bestimmte Coldcard-Hardware-Wallets kryptografische Schlüssel erzeugten, und stahl in weniger als 30 Minuten rund 594 Bitcoin im Wert von etwa 38 Millionen US-Dollar aus ungefähr 500 Single-Signature-Wallets. Fehler bei der Zufallszahlengenerierung gehören zu den heimtückischsten Schwachstellen im Kryptobereich: Wallets funktionieren weiterhin normal, Guthaben scheint sicher, und es gibt keinen sichtbaren Fehler — doch wer die Schwachstelle erkennt, kann private Schlüssel unbemerkt berechnen und Vermögenswerte nach Belieben abziehen, manchmal erst Jahre später.

Die Schwachstelle, die in Coldcard-Firmware 4.0.0 im März 2021 eingeführt wurde, führte dazu, dass betroffene Geräte ihren Hardware-Zufallszahlengenerator umgingen und auf vorhersehbare softwarebasierte Schlüsselerzeugung zurückgriffen, die mit nicht geheimen Chipdaten gespeist wurde.

Coinkite, der kanadische Hersteller von Coldcard, hat Nutzer gewarnt, die Wallet-Seeds auf Mk3-Geräten mit Firmware-Version 4.0.1 oder neuer erstellt haben. Das Unternehmen betonte, dass seine Mk4-, Q- und Mk5-Modelle nach früher Analyse offenbar nicht betroffen sind. Der Diebstahl hatte nur geringe sichtbare Auswirkungen auf den Marktpreis von Bitcoin.

Wie sich der Angriff entwickelte

Am Freitag wurden zwischen 01:31 und 01:56 UTC rund 594 Bitcoin im Wert von etwa 38 Millionen US-Dollar aus ungefähr 500 separaten Wallets abgezogen. Der Angriff wurde auf den Coldcard-Fehler bei der Schlüsselerzeugung zurückgeführt.

Der Diebstahl bewegte 1.324 Bitcoin-Teile über 500 Transaktionen in einem Drei-Block-Fenster. Von der Gesamtsumme wurden 562 BTC anschließend in einer einzigen Adresse konsolidiert, die sich seitdem nicht bewegt hat. Die konsolidierende Adresse kann auf mempool.space eingesehen werden.

Jede geleerte Wallet war Single-Signature und hielt jeweils mehr als 0,15 BTC. Viele der Wallets waren jahrelang ungenutzt geblieben, und die Coins reichten von 2021 bis 2026 — nahezu exakt passend zum Einführungszeitpunkt der Schwachstelle.

Die Ursache

Coldcard ist eine Hardware-Wallet des Unternehmens Coinkite, ein eigenständiges Gerät, das Bitcoin-Private-Keys offline und getrennt von internetverbundenen Computern speichert. Mk2, Mk3, Mk4, Q und Mk5 sind aufeinanderfolgende Generationen des Produkts, die über mehrere Jahre hinweg veröffentlicht wurden.

Ob ein Wallet betroffen ist, hängt von der Firmware-Version ab, die auf dem Gerät lief, als der Seed erstmals erstellt wurde — nicht davon, wann die Hardware gekauft wurde.

Der Seed einer Wallet, die geheime Wiederherstellungsphrase, die über die Mittel verfügt, soll zufällig aus einem astronomisch großen Pool möglicher Werte gezogen werden, sodass ein Brute-Force-Versuch rechnerisch aussichtslos ist. Die Firmware von Coldcard erfüllte diesen Standard jedoch nicht.

Laut einem von Blocks Bitcoin-Engineering- und Sicherheitsteams veröffentlichten Bericht wies eine Build-Einstellung das Gerät an, seinen dedizierten Hardware-Zufallszahlengenerator zu überspringen. Eine Prüfung in einer unterstützenden Bibliothek kontrollierte nur, ob diese Einstellung vorhanden war — nicht, ob sie tatsächlich aktiviert war.

In der Folge fiel die Schlüsselerzeugung unbemerkt auf einen einfachen softwarebasierten Ersatz zurück, der mit der Seriennummer des Chips und den Clock-Registern gespeist wurde. Keiner dieser Werte ist geheim: Die Seriennummer ist feste Werkseinstellung, und die Clock-Werte sind Zeitdaten, die ein Angreifer auf einem eigenen Gerät eingrenzen oder messen könnte.

Block führte die Änderung auf einen Commit vom 1. März 2021 zurück, der im selben Monat in Firmware 4.0.0 ausgeliefert wurde. Der Fehler erinnert an einen bekannten Vorfall aus dem Jahr 2013, bei dem eine Schwachstelle in der SecureRandom-Implementierung von Android es Angreifern ermöglichte, Bitcoin-Wallet-Private-Keys auf betroffenen Android-Geräten vorherzusagen, was Notfallwarnungen von Wallet-Entwicklern auslöste.

Offenlegung und Reaktion

Coinkite veröffentlichte eine Warnung in seinem offiziellen Blog und riet Nutzern, die auf einem Mk3 mit Version 4.0.1 oder neuer einen Seed erstellt haben, Maßnahmen zu ergreifen. Das Unternehmen erklärte: "Mk4, Q and Mk5 are not affected based on our early analysis." Übliche Praxis für betroffene Nutzer ist es, sofort einen neuen Seed auf einem Gerät mit nicht betroffener Firmware zu erstellen und alle Mittel in die neue Wallet zu übertragen.

Block sagte, man habe die Ergebnisse direkt an Coinkite gemeldet, dessen Team die Schwachstelle bestätigte. Beide Unternehmen bezeichneten ihre Analysen als vorläufig. Block erklärte, man habe den Bericht veröffentlicht, ohne vollständige Tests zur Ausnutzbarkeit abgeschlossen zu haben, da bereits aktive Ausnutzung im Gange gewesen sei.

Auswirkungen über Wallet-Seeds hinaus

Die Reichweite der Schwachstelle geht über normale Wallet-Seeds hinaus. Derselbe fehlerhafte Zufallszahlengenerator wurde auch zur Erzeugung der Private Keys für Coldcards Paper Wallets verwendet — wobei die Ausgabe direkt zum Schlüssel wird, ohne weitere Ableitung — sowie für Seed-Splitting-Masken, Geräte-Kloning-Schlüssel und Key-Teleport-Übertragungen. Die Breite der betroffenen Funktionen bedeutet, dass auch Nutzer gefährdet sein können, die auf einem betroffenen Mk3-Gerät eine dieser Funktionen verwendet haben, selbst wenn sie nie einen normalen Wallet-Seed genutzt haben.

Bitcoin notierte während der frühen asiatischen Handelsstunden über 64.000 US-Dollar, wobei der weitreichende Wallet-Abfluss offenbar nur minimale Auswirkungen auf den Gesamtmarkt hatte.

Quelle: CoinDesk