Binance-Gründer Changpeng „CZ" Zhao hat Kryptowährungsbesitzer aufgefordert, ihre Gelder nach einer schwerwiegenden Sicherheitsstörung bei Coldcard-Hardware-Wallets auf mehrere Wallets zu verteilen.

In einem Beitrag auf X am Samstag als Reaktion auf Berichte über den Diebstahl schrieb CZ: „Selbst Hardware-Wallets können Fehler aufweisen. Selbst alte Wallets (mit langer Historie) können Fehler aufweisen. Wie lässt sich das mindern? Vielleicht die Gelder auf ein paar Wallets aufteilen? Das bringt eine andere Art von Risiken mit sich. Nichts ist zu 100 % sicher. Bleibt informiert. Bleibt SAFU!"

Er warnte davor, dass das Aufteilen von Geldern ein anderes Risikoprofil mit sich bringt und dass nichts zu 100 % sicher ist.

Der Exploit beruhte auf einer Firmware-Schwachstelle aus März 2021, die die Zufälligkeit bei der Erstellung von Recovery-Seeds auf bestimmten Coldcard-Modellen schwächte. Ein Angreifer war in der Lage, private Schlüssel offline zu rekonstruieren und Gelder abzuziehen, ohne jemals physischen Zugang zu den Geräten zu erhalten. Die Schwachstelle ist besonders bedeutsam, da Recovery-Seeds die ultimative Sicherheitsreserve für Hardware-Wallet-Nutzer darstellen – wenn ein Seed mathematisch rekonstruiert werden kann, ist keine noch so starke physische Gerätesicherheit relevant.

Coldcard, hergestellt vom in Toronto ansässigen Unternehmen Coinkite, ist ein reines Bitcoin-Hardware-Wallet, das weit verbreitet unter datenschutzorientierten und Self-Custody-Anhängern ist, unter anderem weil es so konzipiert ist, dass es vollständig offline über MicroSD-Karten statt über USB- oder Netzwerkverbindungen arbeitet. Diese Air-Gapped-Reputation macht den Exploit besonders bemerkenswert, da die Schwachstelle die Kernsicherheitsprämisse des Geräts umging, ohne physischen Zugang oder Netzwerkkonnektivität zu erfordern.

Erste On-Chain-Berichte identifizierten etwa 594 Bitcoin (damals rund 38 Millionen Dollar), die innerhalb von etwa 25 Minuten am 30. Juli aus rund 500 Wallets abgeflossen waren. Eine anschließende Analyse von Galaxy Research erweiterte den Umfang erheblich: 1.082,65 Bitcoin – im Wert von etwa 70 Millionen Dollar – wurden aus 1.196 Adressen innerhalb von etwa 41 Minuten entwendet. Viele der betroffenen Wallets waren jahrelang inaktiv gewesen.

Coinkite hat den Fehler anerkannt, sich entschuldigt und Notfall-Firmware-Updates veröffentlicht. Das Unternehmen riet Nutzern, die Seeds auf betroffenen Firmware-Versionen erstellt hatten, vollständig neue Seeds auf gepatchten Geräten zu generieren und ihre Gelder sorgfältig zu migrieren. Coinkite wies darauf hin, dass ein einfaches Firmware-Update einen bereits auf einer gefährdeten Version erstellten Seed nicht absichert.

Der Vorfall hat die Debatte über die Grenzen von Self-Custody neu entfacht. Hardware-Wallets weithin als eine der stärksten Optionen zur Offline-Sicherung von Bitcoin angesehen, doch der Coldcard-Fall zeigt, dass selbst lange etablierte Geräte kritische Fehler beherbergen können, die über Jahre hinweg unentdeckt bleiben. CZs Vorschlag der Diversifizierung räumt ein, dass die Streuung von Risiken eigene praktische Herausforderungen mit sich bringt, darunter ein komplexeres Schlüsselmanagement.

Der Exploit unterstreicht zudem eine branchenweite Herausforderung: Hardware-Wallet-Firmware wird selten dem gleichen Maß an unabhängiger, offener Sicherheitsprüfung unterzogen wie die kryptografischen Protokolle, auf die sie sich stützt. Das bedeutet, dass Implementierungsfehler einzelner Anbieter lange nach der Bereitstellung unentdeckt bleiben können.

Quelle: CoinDesk