Ich hätte fast einen Schock bekommen. Ich habe sofort, als ich die Meldung sah, dass mein Wallet gestohlen wurde, mein BTC-Wallet geöffnet! !!! 💥💦 Wie erwartet: 0 Guthaben. Alles vorbei, alles vorbei.
Bis heute (3. August) hat sich die Schadenshöhe bei dem Diebstahl von Coldcard-Hardware-Wallets anhand der fortlaufend verfolgten Daten von Galaxy Research und anderen Institutionen weiter vergrößert:
Etwa 1.367 BTC wurden insgesamt gestohlen
Nach aktuellem Preis entspricht das einem Wert von rund 89 Millionen US-Dollar (ca. 0,89 Milliarden US-Dollar)
Betroffene Adressen: etwa 4.500
Die erste Angriffswelle dauerte nur 41 Minuten und stahl bereits 1.082,65 BTC; anschließend starteten die Angreifer die zweite und dritte Scan-Welle, um weitere verwundbare Wallets systematisch zu leeren.
Das Schlimmste an diesem Vorfall ist nicht die Phishing-Website und auch nicht das Leaken privater Schlüssel der Nutzer, sondern dass bei Coldcard ein Teil der Firmware beim Generieren von Seed-Phrasen (Mnemonic) einen Fehler im Zufallszahlengenerator (RNG) aufweist. Angreifer können aufgrund der vorhersehbaren Zufallszahlen die privaten Schlüssel eines Teils der Wallets ableiten. Daher kann es – selbst wenn das Wallet die ganze Zeit offline war, die Seed-Phrase nie offengelegt wurde und das Gerät nie mit einem Computer verbunden war – passieren, dass bei Nutzung einer betroffenen Version beim Wallet-Erstellen die privaten Schlüssel remote abgeleitet und die Assets gestohlen werden.
Coldcard gilt seit langem für viele Bitcoin-User als eines der „sichersten“ Hardware-Wallets – umso schlimmer, dass das Problem dieses Mal bei der Zufallszahl liegt, die bei der Generierung der Seed-Phrase verwendet wird. Laut den derzeit offengelegten Informationen können Angreifer bei einigen Wallets, die ab 2021 mit betroffener Firmware erzeugt wurden, aufgrund des RNG-Defekts die privaten Schlüssel zu einem Teil der Seed-Phrasen berechnen und anschließend massenhaft Vermögenswerte on-chain abräumen. Der gesamte Prozess erfordert kein Phishing und keinen Trojaner, ja nicht einmal, dass man dein Wallet-Gerät berührt. Denn das Risiko wurde bereits in dem Moment angelegt, in dem das Wallet erstellt wurde.
Das zeigt erneut: Selbst eine noch so starke Marke darf man nicht blind vertrauen. Entscheidend sind das Sicherheitsdesign auf der Basisebene und Mechanismen, die öffentlich überprüfbar sind. Genau deshalb bin ich in letzter Zeit auf die von @BabylonLabs_io vorgeschlagenen Trustless Bitcoin Vaults (TBV) aufmerksam geworden. Im Vergleich zu Lösungen, die auf zentralisierte Institutionen oder ein einziges Produkt setzen, legt TBV mehr Wert darauf, die Sicherheit der Assets durch Kryptografie und öffentlich definierte Regeln zu gewährleisten. Ich hoffe, dass $BABY dazu beitragen wird, das Bitcoin-Ökosystem in Richtung noch sichererer und weniger vertrauensabhängiger Strukturen weiterzuentwickeln.@BabylonLabs_io #baby $BABY
Ich habe eine Weile gesucht und endlich herausgefunden, warum ich 0 Guthaben hatte: Ich habe vor ein paar Jahren Coins an eine Börse verkauft und dann beim Handeln mit Contracts/Optionen Verluste gemacht. Ich war so erschrocken.
Bis heute (3. August) hat sich die Schadenshöhe bei dem Diebstahl von Coldcard-Hardware-Wallets anhand der fortlaufend verfolgten Daten von Galaxy Research und anderen Institutionen weiter vergrößert:
Etwa 1.367 BTC wurden insgesamt gestohlen
Nach aktuellem Preis entspricht das einem Wert von rund 89 Millionen US-Dollar (ca. 0,89 Milliarden US-Dollar)
Betroffene Adressen: etwa 4.500
Die erste Angriffswelle dauerte nur 41 Minuten und stahl bereits 1.082,65 BTC; anschließend starteten die Angreifer die zweite und dritte Scan-Welle, um weitere verwundbare Wallets systematisch zu leeren.
Das Schlimmste an diesem Vorfall ist nicht die Phishing-Website und auch nicht das Leaken privater Schlüssel der Nutzer, sondern dass bei Coldcard ein Teil der Firmware beim Generieren von Seed-Phrasen (Mnemonic) einen Fehler im Zufallszahlengenerator (RNG) aufweist. Angreifer können aufgrund der vorhersehbaren Zufallszahlen die privaten Schlüssel eines Teils der Wallets ableiten. Daher kann es – selbst wenn das Wallet die ganze Zeit offline war, die Seed-Phrase nie offengelegt wurde und das Gerät nie mit einem Computer verbunden war – passieren, dass bei Nutzung einer betroffenen Version beim Wallet-Erstellen die privaten Schlüssel remote abgeleitet und die Assets gestohlen werden.
Coldcard gilt seit langem für viele Bitcoin-User als eines der „sichersten“ Hardware-Wallets – umso schlimmer, dass das Problem dieses Mal bei der Zufallszahl liegt, die bei der Generierung der Seed-Phrase verwendet wird. Laut den derzeit offengelegten Informationen können Angreifer bei einigen Wallets, die ab 2021 mit betroffener Firmware erzeugt wurden, aufgrund des RNG-Defekts die privaten Schlüssel zu einem Teil der Seed-Phrasen berechnen und anschließend massenhaft Vermögenswerte on-chain abräumen. Der gesamte Prozess erfordert kein Phishing und keinen Trojaner, ja nicht einmal, dass man dein Wallet-Gerät berührt. Denn das Risiko wurde bereits in dem Moment angelegt, in dem das Wallet erstellt wurde.
Das zeigt erneut: Selbst eine noch so starke Marke darf man nicht blind vertrauen. Entscheidend sind das Sicherheitsdesign auf der Basisebene und Mechanismen, die öffentlich überprüfbar sind. Genau deshalb bin ich in letzter Zeit auf die von @BabylonLabs_io vorgeschlagenen Trustless Bitcoin Vaults (TBV) aufmerksam geworden. Im Vergleich zu Lösungen, die auf zentralisierte Institutionen oder ein einziges Produkt setzen, legt TBV mehr Wert darauf, die Sicherheit der Assets durch Kryptografie und öffentlich definierte Regeln zu gewährleisten. Ich hoffe, dass $BABY dazu beitragen wird, das Bitcoin-Ökosystem in Richtung noch sichererer und weniger vertrauensabhängiger Strukturen weiterzuentwickeln.@BabylonLabs_io #baby $BABY
Ich habe eine Weile gesucht und endlich herausgefunden, warum ich 0 Guthaben hatte: Ich habe vor ein paar Jahren Coins an eine Börse verkauft und dann beim Handeln mit Contracts/Optionen Verluste gemacht. Ich war so erschrocken.