Wenn du meinen vorherigen Beitrag gelesen hast, dann lies hier weiter
Die Schwachstelle war bereits im Saatgut angelegt, in dem Moment, in dem es damals vor Jahren erzeugt wurde.
🔴Warum das nicht bedeutet, dass das Unternehmen „die Seeds kannte“
Coinkite hat keine individuellen Seed-Phrasen gespeichert oder gewusst.
Das Problem war ein seit langem bestehender Codierungsfehler bei der Art, wie die Zufallszahlen erzeugt wurden. Da die Firmware quelloffen ist, konnte jeder, der den alten Code sorgfältig studierte (und Coinkite selbst sagt, KI-Tools hätten wahrscheinlich geholfen), herausfinden, dass die Zufälligkeit fehlerhaft war, und dann die möglichen schwachen Seeds offline berechnen.
Es ist ein schwerwiegender Unternehmensfehler — ein kritischer Bug, der jahrelang existierte —, aber es ist kein Beleg dafür, dass Coinkite kompromittiert war und heimlich eine Liste von Benutzers Seeds führte. Wenn das passiert wäre, würde das Angriffsmuster sehr anders aussehen.
Zusammenfassung in einfachen Worten.
✅Normale Seeds → nicht erratbar (zu viele Möglichkeiten).
✅Diese fehlerhaften Seeds → viel weniger Möglichkeiten wegen des Firmware-Bugs → für einen gut ausgestatteten Angreifer offline berechenbar.
Die Hardware-Wallets blieben offline und unberührt. Der Schaden war bereits in dem Moment angerichtet, als das schwache Seed erzeugt wurde.
Darum hat dieser Vorfall so viele Menschen schockiert. Er hat die zentrale Annahme gebrochen, dass „wenn das Gerät offline ist und das Seed niemals das Gerät verlassen hat, das Geld sicher ist“. Wenn die Zufälligkeit selbst kaputt ist, schlägt diese Annahme fehl.
Wenn du in dem betroffenen Zeitraum auf einer Coldcard ein Seed erzeugt hast, ist der einzige sichere Weg weiterhin der offizielle: auf die korrigierte Firmware aktualisieren, ein vollständig neues Seed erstellen und die Gelder sorgfältig umschichten. Normale, korrekt erzeugte Seeds in anderen Wallets (oder auf korrigierter Coldcard-Firmware) bleiben sicher.
Die Schwachstelle war bereits im Saatgut angelegt, in dem Moment, in dem es damals vor Jahren erzeugt wurde.
🔴Warum das nicht bedeutet, dass das Unternehmen „die Seeds kannte“
Coinkite hat keine individuellen Seed-Phrasen gespeichert oder gewusst.
Das Problem war ein seit langem bestehender Codierungsfehler bei der Art, wie die Zufallszahlen erzeugt wurden. Da die Firmware quelloffen ist, konnte jeder, der den alten Code sorgfältig studierte (und Coinkite selbst sagt, KI-Tools hätten wahrscheinlich geholfen), herausfinden, dass die Zufälligkeit fehlerhaft war, und dann die möglichen schwachen Seeds offline berechnen.
Es ist ein schwerwiegender Unternehmensfehler — ein kritischer Bug, der jahrelang existierte —, aber es ist kein Beleg dafür, dass Coinkite kompromittiert war und heimlich eine Liste von Benutzers Seeds führte. Wenn das passiert wäre, würde das Angriffsmuster sehr anders aussehen.
Zusammenfassung in einfachen Worten.
✅Normale Seeds → nicht erratbar (zu viele Möglichkeiten).
✅Diese fehlerhaften Seeds → viel weniger Möglichkeiten wegen des Firmware-Bugs → für einen gut ausgestatteten Angreifer offline berechenbar.
Die Hardware-Wallets blieben offline und unberührt. Der Schaden war bereits in dem Moment angerichtet, als das schwache Seed erzeugt wurde.
Darum hat dieser Vorfall so viele Menschen schockiert. Er hat die zentrale Annahme gebrochen, dass „wenn das Gerät offline ist und das Seed niemals das Gerät verlassen hat, das Geld sicher ist“. Wenn die Zufälligkeit selbst kaputt ist, schlägt diese Annahme fehl.
Wenn du in dem betroffenen Zeitraum auf einer Coldcard ein Seed erzeugt hast, ist der einzige sichere Weg weiterhin der offizielle: auf die korrigierte Firmware aktualisieren, ein vollständig neues Seed erstellen und die Gelder sorgfältig umschichten. Normale, korrekt erzeugte Seeds in anderen Wallets (oder auf korrigierter Coldcard-Firmware) bleiben sicher.