Eine gemeldete Sicherheitslücke in Coldcard Hardware Wallets hat die Aufmerksamkeit erneut auf die Risiken der Selbstverwahrung gelenkt, nachdem unbestätigte Berichte aufgetaucht waren, wonach approximately 39.600 BTC über Wallets verschoben wurden, die jeweils weniger als 1 BTC halten. Während die Firmware-Schwachstelle öffentlich dokumentiert wurde, ist die in diesen Berichten beschriebene On-Chain-Bewegung nicht unabhängig verifiziert worden.

Was über die Coldcard-Schwachstelle bestätigt ist

Der Coldcard-Hersteller Coinkite veröffentlichte eine Warnung zur Seed-Generierung für seine Mk3-Geräte und wies auf eine Schwachstelle dabei hin, wie bestimmte Einheiten Wallet-Seeds generierten.

Sicherheitsforscher bei BleepingComputer berichteten, dass die Schwachstelle bei der Zufallszahlengenerierung (RNG) wahrscheinlich mit rund 88 Millionen US-Dollar an Bitcoin-Diebstahl verbunden war, und beschrieben den Zusammenhang als wahrscheinlich rather als vollständig bestätigt.

Ein technisches Gutachten von Block beschrieb einen vorhersagbaren RNG-Fallback und einen 32-Bit-Re-Seed-Mechanismus in der Firmware – den technischen Weg, auf dem betroffene Seeds von einem Angreifer erraten werden könnten. Die Qualität der Zufallszahlengenerierung ist eine grundlegende Voraussetzung für alle Hardware-Wallet-Architekturen; wenn die Entropie unzureichend oder vorhersagbar ist, werden die resultierenden Seed-Phrasen reproduzierbar, was das Sicherheitsmodell, das Selbstverwahrung von Verwahrungsrisiko trennt, zusammenbrechen lässt.

Was mit Sicherheit gesagt werden kann, ist begrenzt: Die Firmware-Schwachstelle wurde dokumentiert, und Berichte haben sie mit einer spezifischen Diebstahlsschätzung verbunden. Die berichtete Umverteilung von 39.600 BTC über Wallets mit weniger als 1 BTC fällt außerhalb dieses verifizierten Datensatzes und sollte als unbestätigte Behauptung behandelt werden.

Warum Bewegungen über kleine Wallets Aufmerksamkeit erregen

Wallets mit weniger als 1 BTC werden typischerweise mit privaten Nutzern rather als mit Börsen oder institutionellen Verwahrern in Verbindung gebracht. Große Aktivitäten, die über viele solcher Adressen verteilt sind, deuten auf ein fragmentiertes Muster rather als auf eine Bewegung einer einzelnen Entität hin.

Es wurden keine Block-Explorer-Einträge, Transaktions-Hashes, Sender- oder Empfängeradressen oder Zeitstempel öffentlich zugänglich gemacht, um die Zahl von 39.600 BTC zu belegen, was bedeutet, dass sie nicht unabhängig auf der Chain nachverfolgt werden kann.

Wenn große Mengen über viele kleine Wallets bewegt werden, sind mehrere nicht-spekulative Erklärungen möglich: koordinierte Bereinigungen kompromittierter Schlüssel, interne Reorganisationen von Börsen oder das Clustering von Adressen unter einem einzigen Betreiber. Keines dieser Szenarien kann für diese spezifische Behauptung ohne zugrundeliegende Transaktionsdaten bestätigt werden.

Hinweise für Hardware-Wallet-Nutzer

Die dokumentierte Schwachstelle ist ein Problem der Seed-Generierung auf Firmware-Ebene. Da die Sicherheit einer Hardware-Wallet fundamental von der Unvorhersagbarkeit ihrer Seed-Phrase abhängt, sollten Nutzer betroffener Coldcard Mk3-Geräte der offiziellen Firmware- und Seed-Anleitung von Coinkite folgen, rather als auf unbestätigte Überweisungsberichte zu reagieren. In der Praxis müssen betroffene Nutzer in der Regel einen vollständig neuen Seed mit gepatchter Firmware generieren und die Gelder auf ein neues Wallet migrieren – ein einfaches Firmware-Update auf einem bereits kompromittierten Seed schützt die Gelder nicht nachträglich.

Der Vorfall ähnelt früheren Untersuchungen von Single-Signature-Bitcoin-Setups, einschließlich Warnungen, die nach einem separaten Coldcard-bezogenen Verlust erhoben wurden und Bedenken hinsichtlich Single-Sig-Risiken aufwarfen. Diese Vorfälle unterstreichen das Prinzip, dass das Vertrauen in ein Gerät von transparenten, überprüfbaren Informationen der Hersteller abhängt – und dass das breitere Hardware-Wallet-Ökosystem, einschließlich Wettbewerber wie Ledger, Trezor und BitBox, von unabhängigen Sicherheitsaudits Dritter und der Prüfung von Open-Source-Firmware profitiert.

Das breitere Risikomanagement der Selbstverwahrung wird auch von Adoptions trends geprägt. Daten, die darauf hindeuten, dass ein Viertel der Kanadier nun Krypto-Assets hält, und dass das Krypto-Handelsvolumen in Südkorea um 54,6 % sank, spiegeln eine sich wandelnde Landschaft wider, in der sich die Beteiligung von Privatanlegern und das Sicherheitsbewusstsein überschneiden. Mit wachender Adoption durch Privatanleger unterstreichen Vorfälle im Zusammenhang mit Schwachstellen bei der Seed-Generierung die Lücke zwischen der Zugänglichkeit von Selbstverwahrungs-Tools und der technischen Sorgfalt, die für deren sichere Nutzung erforderlich ist.

Leser sollten verifizierte Hersteller-Updates höher gewichten als gerüchtgesteuerte Zahlen über Wallet-Bewegungen.

Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Krypto währungs- und digitale-Asset-Märkte bergen erhebliche Risiken. Führen Sie immer Ihre eigene Recherche durch, bevor Sie Entscheidungen treffen.