Coldcard 重大漏洞: Über zehntausend BTC gestohlen
Krypto-Freunde, Achtung! In nur 25 Minuten wurden insgesamt 594 Bitcoin aus 500 Cold Wallets gestohlen – umgerechnet etwa 38 Millionen US-Dollar.
Dies ist kein Phishing-Betrug und keine Leckage von privaten Schlüsseln. Die Ursache liegt in einem tödlichen Defekt in der Firmware der Coldcard auf der Hardware-Ebene.
Der Bug wurde bereits im März 2021 eingeschleust: Eine Zeile Code deaktiviert das Modul für die sichere Zufallsgenerierung. Die Seed-Phrase wird nur aus einer festen Chip-Seriennummer plus einer berechenbaren Zeit generiert. Das bedeutet: Der „Tresor-Passcode“ lässt sich anhand der Geräte-ID und der aktuellen Zeit berechnen – der Angreifer kann die privaten Schlüssel massenhaft knacken, ohne die Hardware physisch zu berühren.
Viele Nutzer haben ihr Gerät als „Tresorschloss“ konfiguriert, das Gerät monatelang vollständig offline gelassen und waren überzeugt, der Schutz sei maximal. Doch der Angreifer muss die Hardware nicht anfassen: Durch Remote-Berechnung der Schlüssel werden die Vermögenswerte direkt abgezogen. Das zerstört das Vertrauen in die Sicherheit von Cold Wallets vollständig.
Auch die On-Chain-Daten sind noch erschreckender: Nach Bekanntwerden der dritten Welle von Diebstahlsadressen schossen die gestohlenen BTC auf 1367 – umgerechnet 88,6 Millionen US-Dollar. Mehr als 4500 Adressen wurden Opfer.
Die betroffenen Gerätemodelle sind extrem weitreichend: Ältere Mk3 sind komplett betroffen. Mk4 und Mk5 mit Versionen unter 5.6.0 sowie Q-Modelle mit Versionen unter 1.5.0Q: Die generierten Seed-Phrasen sind unsicher. Die Sicherheitsentropie fällt von standardmäßigen 128 Bit auf nur 72 Bit – nahezu ein Totalausfall.
Dringende Warnung für alle, die eine Coldcard im Einsatz haben: Überprüft sofort die Firmware-Version! In alten Versionen generierte Seed-Phrasen sind vollständig offengelegt. Ein bloßes Firmware-Update rettet die bereits vorhandenen Vermögenswerte nicht. Ihr müsst auf dem aktualisierten Gerät die Seed-Phrasen neu generieren, neue Empfangsadressen erstellen, erst nach einem erfolgreichen Small-Transfer-Test alles prüfen und dann erst den gesamten Bestand übertragen.
Branchen-Manager sprechen offen davon, dass dieser Vorfall das Vertrauen in Self-Custody Wallets massiv erschüttert.
Verlasst euch nicht länger auf die vermeintlich absolute Sicherheit von Hardware-Wallets. Die Eigenverwahrung der privaten Schlüssel ist richtig – aber konzentriert die Assets nicht. Nutzt mehr Signaturen, verwendet mehrere Hardware-Wallets und lagert die Bestände getrennt und dezentral. Alternativ könnt ihr auch eine konforme Verwahrung durch Institutionen wählen. In der Krypto-Welt gibt es für Selbstverständlichkeit keine hundertprozentig risikofreie Lösung.
#BTC #比特币
Krypto-Freunde, Achtung! In nur 25 Minuten wurden insgesamt 594 Bitcoin aus 500 Cold Wallets gestohlen – umgerechnet etwa 38 Millionen US-Dollar.
Dies ist kein Phishing-Betrug und keine Leckage von privaten Schlüsseln. Die Ursache liegt in einem tödlichen Defekt in der Firmware der Coldcard auf der Hardware-Ebene.
Der Bug wurde bereits im März 2021 eingeschleust: Eine Zeile Code deaktiviert das Modul für die sichere Zufallsgenerierung. Die Seed-Phrase wird nur aus einer festen Chip-Seriennummer plus einer berechenbaren Zeit generiert. Das bedeutet: Der „Tresor-Passcode“ lässt sich anhand der Geräte-ID und der aktuellen Zeit berechnen – der Angreifer kann die privaten Schlüssel massenhaft knacken, ohne die Hardware physisch zu berühren.
Viele Nutzer haben ihr Gerät als „Tresorschloss“ konfiguriert, das Gerät monatelang vollständig offline gelassen und waren überzeugt, der Schutz sei maximal. Doch der Angreifer muss die Hardware nicht anfassen: Durch Remote-Berechnung der Schlüssel werden die Vermögenswerte direkt abgezogen. Das zerstört das Vertrauen in die Sicherheit von Cold Wallets vollständig.
Auch die On-Chain-Daten sind noch erschreckender: Nach Bekanntwerden der dritten Welle von Diebstahlsadressen schossen die gestohlenen BTC auf 1367 – umgerechnet 88,6 Millionen US-Dollar. Mehr als 4500 Adressen wurden Opfer.
Die betroffenen Gerätemodelle sind extrem weitreichend: Ältere Mk3 sind komplett betroffen. Mk4 und Mk5 mit Versionen unter 5.6.0 sowie Q-Modelle mit Versionen unter 1.5.0Q: Die generierten Seed-Phrasen sind unsicher. Die Sicherheitsentropie fällt von standardmäßigen 128 Bit auf nur 72 Bit – nahezu ein Totalausfall.
Dringende Warnung für alle, die eine Coldcard im Einsatz haben: Überprüft sofort die Firmware-Version! In alten Versionen generierte Seed-Phrasen sind vollständig offengelegt. Ein bloßes Firmware-Update rettet die bereits vorhandenen Vermögenswerte nicht. Ihr müsst auf dem aktualisierten Gerät die Seed-Phrasen neu generieren, neue Empfangsadressen erstellen, erst nach einem erfolgreichen Small-Transfer-Test alles prüfen und dann erst den gesamten Bestand übertragen.
Branchen-Manager sprechen offen davon, dass dieser Vorfall das Vertrauen in Self-Custody Wallets massiv erschüttert.
Verlasst euch nicht länger auf die vermeintlich absolute Sicherheit von Hardware-Wallets. Die Eigenverwahrung der privaten Schlüssel ist richtig – aber konzentriert die Assets nicht. Nutzt mehr Signaturen, verwendet mehrere Hardware-Wallets und lagert die Bestände getrennt und dezentral. Alternativ könnt ihr auch eine konforme Verwahrung durch Institutionen wählen. In der Krypto-Welt gibt es für Selbstverständlichkeit keine hundertprozentig risikofreie Lösung.
#BTC #比特币
