#coldcard漏洞被盗594枚btc
Brüder, 594 Bitcoins, 38 Millionen US-Dollar, 25 Minuten, 500 Wallets – weg!
Und das ist keine Phishing-Seite, die sie gestohlen hat, keine geleakten Private Keys. Es ist die Coldcard-eigene Firmware mit einer tödlichen Schwachstelle.
Wisst ihr, wie absurd das ist? Eine einzige Codezeile aus dem März 2021 umgeht den Hardware-Zufallszahlengenerator. Stattdessen werden der Chip-Seriennummer und dem Zeitwert verwendet, um die Seed-Phrase zu erzeugen. Die Seriennummer ist fest, der Zeitwert ist vorhersagbar – im Grunde nutzt man für den Tresorschlüssel die Werksnummer plus die aktuelle Zeit! Der Angreifer sitzt zuhause bei Kaffee und berechnet in Minuten eure Private Keys.
Das Bitterste: Die Opfer haben die Wallet im Tresor verlötet, das Netz getrennt und mehrere Monate nichts bewegt – in der Annahme, es sei völlig sicher. Was ist passiert? Der Hacker hat deine Geräte nicht einmal berührt. Er hat die Private Keys direkt aus der Ferne berechnet und das Geld abgezogen.
Was sagt man dazu – fühlt sich das an wie ein Messerstich ins Herz des Glaubens?
Und das ist noch nicht alles: Die neuesten Daten zeigen, dass das Ausmaß deutlich größer sein könnte als 594 Bitcoins. Nachdem ein dritter Angriffswellen-Cluster entdeckt wurde, wird der Gesamtschaden auf 1367 BTC geschätzt, im Wert von etwa 88,6 Millionen US-Dollar, und es sind mehr als 4500 Adressen betroffen.
Nicht nur ältere Mk3 sind betroffen. Mk4 und Mk5 vor 5.6.0 sowie Q vor 1.5.0 erzeugte Seed-Phrasen haben ebenfalls das Problem: Die effektive Entropie beträgt nur 72 Bit statt 128 Bit. Fast die gesamte Linie ist abgefallen.
Was tun? Brüder von Coldcard: Prüft jetzt sofort die Firmware-Version! Falls die Seed-Phrasen auf einer der betroffenen Versionen generiert wurden, ist sie standardmäßig bereits kompromittiert! Ein Firmware-Update ersetzt nicht die bereits vorhandenen Seeds – ihr müsst auf dem aktualisierten Gerät eine komplett neue Seed-Phrase erzeugen, neue Adressen erstellen und dann alle Assets dorthin migrieren! Erst einen kleinen Test, dann die restlichen Beträge übertragen.
Der Vizepräsident von Strive sagte einen Satz, der der ganzen Branche den Rücken kalt macht: „Das verändert dauerhaft das Vertrauen der Menschen in Self-Custody.“
Hardware-Wallet = absolute Sicherheit? Von heute an gilt diese These nicht mehr.
Brüder, es ist richtig, die Private Keys selbst zu verwahren – aber legt nicht alle Eier in einen Korb. Nutzt Multisig, mehrere Anbieter, mehrere Geräte, mehrere physische Standorte – oder geht direkt in institutionelle Verwahrung. In dieser Branche gilt für immer: Denkt niemals, dass etwas „unmöglich/absolut sicher“ ist.
#BTC #BTC走势分析
Brüder, 594 Bitcoins, 38 Millionen US-Dollar, 25 Minuten, 500 Wallets – weg!
Und das ist keine Phishing-Seite, die sie gestohlen hat, keine geleakten Private Keys. Es ist die Coldcard-eigene Firmware mit einer tödlichen Schwachstelle.
Wisst ihr, wie absurd das ist? Eine einzige Codezeile aus dem März 2021 umgeht den Hardware-Zufallszahlengenerator. Stattdessen werden der Chip-Seriennummer und dem Zeitwert verwendet, um die Seed-Phrase zu erzeugen. Die Seriennummer ist fest, der Zeitwert ist vorhersagbar – im Grunde nutzt man für den Tresorschlüssel die Werksnummer plus die aktuelle Zeit! Der Angreifer sitzt zuhause bei Kaffee und berechnet in Minuten eure Private Keys.
Das Bitterste: Die Opfer haben die Wallet im Tresor verlötet, das Netz getrennt und mehrere Monate nichts bewegt – in der Annahme, es sei völlig sicher. Was ist passiert? Der Hacker hat deine Geräte nicht einmal berührt. Er hat die Private Keys direkt aus der Ferne berechnet und das Geld abgezogen.
Was sagt man dazu – fühlt sich das an wie ein Messerstich ins Herz des Glaubens?
Und das ist noch nicht alles: Die neuesten Daten zeigen, dass das Ausmaß deutlich größer sein könnte als 594 Bitcoins. Nachdem ein dritter Angriffswellen-Cluster entdeckt wurde, wird der Gesamtschaden auf 1367 BTC geschätzt, im Wert von etwa 88,6 Millionen US-Dollar, und es sind mehr als 4500 Adressen betroffen.
Nicht nur ältere Mk3 sind betroffen. Mk4 und Mk5 vor 5.6.0 sowie Q vor 1.5.0 erzeugte Seed-Phrasen haben ebenfalls das Problem: Die effektive Entropie beträgt nur 72 Bit statt 128 Bit. Fast die gesamte Linie ist abgefallen.
Was tun? Brüder von Coldcard: Prüft jetzt sofort die Firmware-Version! Falls die Seed-Phrasen auf einer der betroffenen Versionen generiert wurden, ist sie standardmäßig bereits kompromittiert! Ein Firmware-Update ersetzt nicht die bereits vorhandenen Seeds – ihr müsst auf dem aktualisierten Gerät eine komplett neue Seed-Phrase erzeugen, neue Adressen erstellen und dann alle Assets dorthin migrieren! Erst einen kleinen Test, dann die restlichen Beträge übertragen.
Der Vizepräsident von Strive sagte einen Satz, der der ganzen Branche den Rücken kalt macht: „Das verändert dauerhaft das Vertrauen der Menschen in Self-Custody.“
Hardware-Wallet = absolute Sicherheit? Von heute an gilt diese These nicht mehr.
Brüder, es ist richtig, die Private Keys selbst zu verwahren – aber legt nicht alle Eier in einen Korb. Nutzt Multisig, mehrere Anbieter, mehrere Geräte, mehrere physische Standorte – oder geht direkt in institutionelle Verwahrung. In dieser Branche gilt für immer: Denkt niemals, dass etwas „unmöglich/absolut sicher“ ist.
#BTC #BTC走势分析