Vultisig, der Entwickler einer Multi-Signature-Kryptowallet, teilte mit, dass ein im August 2025 veröffentlichtes Update eine Private-Key-Schwachstelle in seiner Software behoben hat. Das Unternehmen hat nicht öffentlich bekanntgegeben, welche Versionen betroffen waren, welche Umstände die Schwachstelle auslösen konnten oder ob Nutzergelder vor der Behebung kompromittiert wurden.

Nach Berichten von CryptoSlate handelte es sich um eine kritische Private-Key-Leckage, die die August-Updates blockierten. Die Tragweite in dieser Kategorie ist außergewöhnlich hoch: Ein privater Schlüssel fungiert als Master-Passwort jeder Krypto-Wallet, und wer ihn besitzt, kontrolliert die Guthaben der Wallet vollständig – was diese Art von Schwachstelle zu einer der schwerwiegendsten macht, mit denen ein Wallet-Anbieter konfrontiert werden kann.

Über die Zuschreibung der Behebung auf die im August veröffentlichten Updates hinaus hat Vultisig keinen öffentlichen Sicherheitshinweis herausgegeben. Zum Zeitpunkt der Erstellung dieses Artikels gibt es keine CVE-Kennung, keinen Bereich betroffener Versionen und keine technische Dokumentation, die den Umfang der Behebung bestätigt. CVE-Kennungen sind das standardisierte System, das in der Softwarebranche verwendet wird, um öffentlich bekanntgemachte Schwachstellen zu katalogisieren und Nutzern sowie Sicherheitsteams einen gemeinsamen Referenzpunkt zu bieten, um zu prüfen, ob ihre eigenen Installationen betroffen sind.

Warum eine Private-Key-Schwachstelle ernst ist

Ein privater Schlüssel ist eine lange Zeichenfolge, die bei der Erstellung einer Krypto-Wallet erzeugt wird. Er ist mit der Kombination eines Tresors vergleichbar: Wer sie kennt, kann den Tresor öffnen alles darin mitnehmen. Im schlimmsten Fall könnte eine Schwachstelle, die private Schlüssel leakt oder offenlegt, einem Angreifer ermöglichen, eine Wallet zu leeren, ohne dass der Besitzer etwas Falsches getan hat.

Vultisig basiert auf Multi-Party-Computation (MPC), einem Design, bei dem kein einzelnes Gerät jemals den vollständigen privaten Schlüssel besitzt. Stattdessen wird der Schlüssel in „Shares“ auf mehrere Geräte aufgeteilt, um das Risiko zu verringern, dass ein einzelner Fehlerpunkt den vollständigen Schlüssel offenlegt. Eine Schwachstelle in einem solchen System könnte die unsachgemäße Behandlung dieser Schlüsselanteile während einer Signieroperation betreffen, wobei Vultisig den konkreten Mechanismus in den für diesen Artikel geprüften öffentlichen Mitteilungen nicht bestätigt hat.

Sicherheitslücken dieser Art in Wallets sind nicht einzigartig bei Vultisig. Anfang dieses Jahres patchte Electrum eine Schwachstelle, die es bösartigen Servern ermöglichte, Bitcoin-Diebstahl zu erleichtern, und ein Hack eines Solana-Trading-Bots leerte fast 1 Million US-Dollar aus 49 Wallets, nachdem Angreifer eine Schwäche bei der Speicherung privater Schlüssel gefunden hatten. In allen diesen Fällen ist der gemeinsame Nenner die Handhabung von Private-Key-Material – die Komponente der Wallet-Software, bei der ein Defekt am unmittelbarsten zu Verlusten von Nutzergeldern führt.

Was Vultisig-Nutzer jetzt tun sollten

Für Vultisig-Nutzer ist der wichtigste Schritt zu bestätigen, dass sie die neueste Version der App verwenden. Updates sollten aus dem App-Store oder von der offiziellen Vultisig-Website bezogen werden – niemals von Drittanbieter-Websites, inoffiziellen App-Stores oder über Links in Social-Media-Nachrichten.

Nutzer sollten außerdem die offiziellen Release-Hinweise von Vultisig oder Sicherheitsmitteilungen auf dessen Website oder verifizierten sozialen Kanälen prüfen. Von diesen Dokumenten wird erwartet, dass sie angeben, welche Versionen die Schwachstelle enthielten, und bestätigen, welcher Build die Behebung enthält. Falls diese Informationen nicht auffindbar sind, sollten Nutzer den Vultisig-Support direkt über offizielle Kanäle kontaktieren, bevor sie davon ausgehen, dass ihre Installation sicher ist.

Als allgeme Regel gilt: Teilen Sie niemals eine Wiederherstellungsphrase oder privates Schlüsselmaterial mit irgendjemandem, auch nicht mit Personen, die sich als Teil des Vultisig-Teams ausgeben. Seriöse Wallet-Anbieter fragen niemals nach diesen Informationen. Jeder, der Nutzer wegen eines dringenden Sicherheitsproblems kontaktiert und nach einer Seed-Phrase verlangt, betreibt einen Betrug – keinen Support.

Für einen breiteren Kontext, wie sich Infrastruktur-Schwachstellen ausbreiten, ist die Cloud-Attacke auf GMO Trading, die mehr als 26.000 Server gefährdete, eine Erinnerung daran, dass Angriffsflächen über die Wallet-App hinausgehen.

Was weiterhin unklar ist

Mehrere wesentliche Details sind in öffentlichen Mitteilungen noch nicht bestätigt. Vultisig hat nicht angegeben, welche konkreten Versionsnummern verwundbar waren, ob die Schwachstelle eine bestimmte Nutzeraktion zum Auslösen erforderte oder ob Wallets vor dem Patch ausgenutzt wurden. Das Unternehmen hat auch nicht gesagt, ob die Schwachstelle intern entdeckt oder von einem externen Sicherheitsforscher gemeldet wurde.

Die nächsten erwarteten Mitteilungen wären ein formeller Sicherheitshinweis mit zugewiesener CVE, die Veröffentlichung des Bereichs betroffener Versionen sowie eine Aussage dazu, ob Wallets betroffen waren. Bis Vultisig einen formellen Sicherheitshinweis veröffentlicht, sollten Nutzer das August-Update als verpflichtend und nicht als optional betrachten und ihren Installationsstatus so bald wie möglich überprüfen.

Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Märkte für Kryptowährungen und digitale Assets bergen erhebliche Risiken. Führen Sie stets eigene Recherchen durch, bevor Sie Entscheidungen treffen.