Was ist bei Coldcard schiefgelaufen #BTC
Coldcard, die Bitcoin-only Hardware-Wallet des kanadischen Unternehmens Coinkite, steht nach einem Firmware-Bug vor einem der größten Sicherheitsvorfälle. Dieser Bug hat still und leise geschwächt, wie einige Geräte Seed-Phrasen erzeugen.
Die Diebstähle begannen am Freitag, dem 30. Juli, und dauern seitdem in Wellen an. On-Chain-Analysten haben mehrere Exporte nachverfolgt; die Verluste werden inzwischen auf 1.000–1.300 $BTC geschätzt (rund 70–90 Millionen US-Dollar) über mehr als 1.000 Adressen. Die größten Ausbrüche verlagerten in weniger als einer Stunde Hunderte von $BTC, und Forschende sagen, die Angriffe könnten zum Zeitpunkt dieses Schreibens noch andauern.
Angreifer nutzten eine Schwachstelle aus, die bis in den März 2021 zurückreicht. Dadurch fielen einige Coldcard-Geräte bei der Erstellung neuer Wallets auf einen vorhersehbaren Software-Zufallszahlengenerator zurück – statt auf den hardwarebasierten RNG des Geräts. Das verringerte die Zufälligkeit (Entropie) im Seed, wodurch es einem Angreifer möglich wurde, wahrscheinliche Seed-Phrasen offline zu rekonstruieren und die privaten Schlüssel abzuleiten, ohne jemals das physische Gerät zu berühren.
Das hat viele dazu veranlasst, darunter auch Binance-Gründer CZ, die Sicherheit von Hardware-Wallets und die Selbstverwahrung im Allgemeinen neu zu überdenken
Coldcard, die Bitcoin-only Hardware-Wallet des kanadischen Unternehmens Coinkite, steht nach einem Firmware-Bug vor einem der größten Sicherheitsvorfälle. Dieser Bug hat still und leise geschwächt, wie einige Geräte Seed-Phrasen erzeugen.
Die Diebstähle begannen am Freitag, dem 30. Juli, und dauern seitdem in Wellen an. On-Chain-Analysten haben mehrere Exporte nachverfolgt; die Verluste werden inzwischen auf 1.000–1.300 $BTC geschätzt (rund 70–90 Millionen US-Dollar) über mehr als 1.000 Adressen. Die größten Ausbrüche verlagerten in weniger als einer Stunde Hunderte von $BTC, und Forschende sagen, die Angriffe könnten zum Zeitpunkt dieses Schreibens noch andauern.
Angreifer nutzten eine Schwachstelle aus, die bis in den März 2021 zurückreicht. Dadurch fielen einige Coldcard-Geräte bei der Erstellung neuer Wallets auf einen vorhersehbaren Software-Zufallszahlengenerator zurück – statt auf den hardwarebasierten RNG des Geräts. Das verringerte die Zufälligkeit (Entropie) im Seed, wodurch es einem Angreifer möglich wurde, wahrscheinliche Seed-Phrasen offline zu rekonstruieren und die privaten Schlüssel abzuleiten, ohne jemals das physische Gerät zu berühren.
Das hat viele dazu veranlasst, darunter auch Binance-Gründer CZ, die Sicherheit von Hardware-Wallets und die Selbstverwahrung im Allgemeinen neu zu überdenken