Eine Sicherheitslücke, die mehrere Generationen von Coldcard-Hardware-Wallets betrifft, hat Bitcoin-Nutzer dazu gebracht, ihre Gelder zu sichern, nachdem Angreifer Berichten zufolge mindestens 594 BTC gestohlen haben, im Wert von etwa 38 Millionen Dollar zu aktuellen Preisen. Der Hersteller, das kanadische Unternehmen Coinkite, hat die Schwachstelle anerkannt und betroffene Kunden aufgefordert, ihre Gelder mit neu generierten Recovery-Seeds zu migrieren.
Das Problem betrifft Wiederherstellungsphrasen, allgemein bekannt als Seed-Wörter, die auf bestimmten Coldcard-Firmware-Versionen erstellt wurden. Laut Coinkite könnten Wallets, die auf dem Mk3 mit Firmware 4.0.1 oder später generiert wurden, sowie bestimmte Mk4-, Q- und Mk5-Geräte vor der Veröffentlichung der gepatchten Firmware Seed-Phrasen mit zu wenig Zufälligkeit erzeugt haben. Wenn Angreifer diese Seed-Wörter vorhersagen können, können sie die Wallet an anderer Stelle wiederherstellen und die gespeicherte Kryptowährung übertragen.
Coinkite hat Firmware-Updates veröffentlicht, um das Problem zu beheben, warnte jedoch, dass die Installation des Updates allein nicht ausreicht, um bestehende Wallets zu schützen. Nutzer, deren Wiederherstellungsphrasen mit betroffener Firmware erstellt wurden, müssen eine völlig neue Seed-Phrase generieren und ihre Bitcoin auf eine neu erstellte Wallet übertragen. Das Unternehmen hat Migrationsanweisungen für Kunden veröffentlicht, von denen es glaubt, dass sie gefährdet sein könnten.
Die Warnung geht auch über Coldcard-Geräte selbst hinaus. Sicherheitsingenieure bei Block, dem Unternehmen hinter der Bitkey-Hardware-Wallet, stellten fest, dass Nutzer verwundbar bleiben, wenn sie eine ursprünglich auf einer betroffene Coldcard erstellte Wiederherstellungsphrase in eine andere Wallet importieren. Da der zugrundeliegende Seed unverändert bleibt, beseitigt das Verschieben auf andere Hardware das Risiko nicht. Mehrere andere Wallet-Hersteller, darunter Trezor, Blockstream, Foundation und Tangem, haben Kunden, die zuvor Coldcard-Wiederherstellungsphrasen migriert haben, ähnlich dazu beraten, neue Wallets mit neu generierten Seeds zu erstellen.
Coinkite gab an, bis vor Kurzem nichts von dem zugrundeliegenden Problem zu wissen, und beschrieb es als eine Kombination subtiler Softwarefehler, die die Zufälligkeit bei der Seed-Erstellung in bestimmten Firmware-Versionen reduzierten. Das Unternehmen glaubt, dass ein Angreifer letztlich die Schwachstelle ausnutzen konnte, indem er Wiederherstellungsphrasen vorhersagt und betroffene Wallets entleert hat.
Bei der Diskussion darüber, wie der Fehler entdeckt worden sein könnte, erklärte Coinkite, es könne nicht ausschließen, dass künstliche Intelligenz-Tools bei der Analyse des öffentlich verfügbaren Quellcodes geholfen haben. Das Unternehmen betonte, dass dies eine Annahme und kein bestätigtes Ergebnis sei. Laut Coinkite wurde kürzlich ein fortschrittliches KI-Modell verwendet, um denselben Code zu überprüfen, doch das Modell identifizierte die Schwachstelle nicht, bevor sie entdeckt wurde.
Der Vorfall hat die Diskussion innerhalb der Bitcoin-Community über die Bedeutung des Schutzes großer Kryptowährungsbestände mit Multisignatur-Wallets neu belebt, die die Zustimmung mehrerer unabhängiger Geräte erfordern, bevor Gelder übertragen werden können. Sicherheitsexperten haben betroffene Nutzer aufgefordert, die Migration verwundbarer Wallets nicht zu verzögern, und betonen, dass die Erstellung einer neuen Wiederherstellungsphrase der einzige verlässliche Weg ist, das Risiko des kompromittierten Seed-Generierungsprozesses zu eliminieren. Die Untersuchung der Angriffe läuft weiterhin.