Galaxy Research hat eine dritte vermutete Angriffswelle identifiziert, die auf Bitcoin-Adressen abzielt, von denen angenommen wird, dass sie durch fehlerhafte Coldcard-Firmware generiert wurden, wodurch die geschätzte abgeflossene Gesamtsumme auf 1.367,05 BTC über 4.585 Adressen gestiegen ist.

Coldcard, hergestellt von Coinkite, ist eines der am weitesten verbreiteten Air-Gapped Bitcoin-Hardware-Wallets und wird speziell an Nutzer vermarktet, die Wert auf Self-Custody-Sicherheit legen. Das Gerät ist so konzipiert, dass es private Schlüssel vollständig offline generiert und speichert, wodurch die Qualität seines internen Zufallszahlengenerators eine grundlegende Sicherheitsannahme darstellt und nicht nur eine Schutzschicht unter vielen.

Die jüngste Welle entzog 207.7294 BTC und erhöhte die kombinierte beobachtete Gesamtsumme auf etwa 88,6 Millionen US-Dollar zum Zeitpunkt der Aktualisierung von Galaxy.

Dritte Welle zeigt ein anderes Transaktionsmuster

Die ersten beiden vermuteten Angriffswellen zeigten ähnliche On-Chain-Muster. Beide verwendeten eine Trichterstruktur, die Mittel in einer kleinen Anzahl gemeinsamer Sammeladressen konsolidierte, und verließen sich auf Pay-to-Witness-Public-Key-Hash (P2WPKH)-Zieladressen.

Im Gegensatz dazu verwendete die dritte Welle Pay-to-Witness-Script-Hash (P2WSH)-Zieladressen und bündelte durchschnittlich 6,37 Opferadressen pro Transaktion. Diese Unterschiede können darauf hindeuten, dass derselbe Angreifer neue Werkzeuge eingesetzt hat, oder alternativ, dass ein separater Täter dieselbe Schwachstelle bei der Adressgenerierung ausnutzt.

Galaxy hat nicht unabhängig bestätigt, dass jede betroffene Adresse aus Coldcards fehlerhaftem Zufallszahlengenerierungsprozess stammt. Die Ergebnisse des Unternehmens stellen eine On-Chain-Schätzung dar und keinen endgültigen Beweis dafür, dass alle drei Wellen von einem einzelnen Angreifer oder einer einzelnen Gruppe betroffener Geräte stammen.

Die aktualisierte Gesamtsumme übersteigt die vorherige Schätzung von bis zu 1.083 BTC, die zurückverfolgt wurde, nachdem Block und Coinkite erstmals die Schwachstelle bei der Seed-Generierung offenlegten.

Coinkite erweitert Liste der betroffenen Geräte

Coinkites aktualisierte Sicherheitswarnung deckt nun Mk2- und Mk3-Seeds ab, die unter den Firmware-Versionen 4.0.1 bis 4.1.9 generiert wurden, sowie Mk4- und Mk5-Seeds, die vor der Standard-Firmware 5.6.0 oder der Edge-Firmware 6.6.0X erstellt wurden. Coldcard Q-Seeds, die vor der Standard-Version 1.5.0Q oder der Edge-Version 6.6.0QX generiert wurden, sind ebenfalls betroffen.

Coinkite schätzt, dass fehlerhafte Mk4-, Mk5- und Q-Seeds etwa 72 Bits Entropie enthielten statt der vorgesehenen 128 Bits. Der vorgesehene 128-Bit-Standard entspricht etwa 3,4 × 10^38 möglichen Kombinationen – ein Schlüsselraum, der als rechnerisch nicht brute-force-fähig gilt. Bei etwa 72 Bits schrumpft der effektive Suchraum auf rund 4,7 × 10^21 Möglichkeiten, eine Reduzierung, die betroffene Seeds in den praktischen Bereich entschlossener Angreifer mit modernen Rechenressourcen bringt.

Für jedes betroffene Modell ist eine korrigierte Firmware verfügbar, jedoch repariert die Installation eines Updates keinen Seed, der bereits unter fehlerhafter Firmware erstellt wurde. Das Importieren derselben Wiederherstellungsphrase in eine andere Wallet lässt die Mittel ebenfalls ungeschützt.

Seeds, die durch mindestens 50 faire, unabhängige und private Würfelwürfe ergänzt wurden, gelten durch diesen Zufälligkeitsfehler allein nicht als fehlerhaft. Eine starke, einzigartige BIP-39-Passphrase bietet eine zusätzliche Schutzschicht, obwohl Coinkite weiterhin empfiehlt, dass betroffene Nutzer ihre Mittel vollständig migrieren.

Block führt den RNG-Fehler auf März 2021 zurück

Blocks technische Untersuchung führte die Schwachstelle auf eine Firmware-Änderung vom März 2021 zurück, die dazu führte, dass Coldcards Zufallszahlen-Bibliothek auf eine deterministische MicroPython-Routine zurückgriff, anstatt den STM32-Hardwaregenerator des Geräts zu verwenden.

Die Mk2- und Mk3-Version-4-Firmware fügte diesem Fallback keine kryptografische Entropie hinzu. Neuere Geräte integrierten Secure-Element-Eingaben, behielten jedoch nur vier Bytes beim Reseeding bei, was sicher unterscheidbare Ausgabeströme auf nicht mehr als 2^32 – etwa 4,3 Milliarden Möglichkeiten – unter festen Fallback-Bedingungen begrenzte.

Die Offenlegung folgt auf Kommentare von ZachXBT, der Hardware-Wallets zuvor als „Müll“ bezeichnete und die Verwendung eines dedizierten iPhones zur Aufbewahrung von Kryptowährungen empfahl. Seine Äußerungen bezogen sich auf allgemeinere Wallet-Software- und operationale Risiken und identifizierten nicht spezifisch den Coldcard-Entropiefehler.

Betroffenen Nutzern wird empfohlen, die korrigierte Firmware zu installieren, bevor sie einen Ersatz-Seed generieren, das neue Backup und die Empfangsadresse zu verifizieren, eine kleine Testtransaktion zu senden und das restliche Guthaben erst nach Bestätigung, dass die Testmittel angekommen sind, zu übertragen.