Ein fünf Jahre alter Fehler. Ein fehlgeschlagener Zufallszahlengenerator. Und 89 Millionen US-Dollar, die von Tausenden von Wallets abgezogen wurden. Der Coldcard-Hack ist eine eindringliche Erinnerung daran, dass selbst die sichersten Hardware-Wallets einen „Sternchen“-Vorbehalt haben. 🚨 Lassen Sie uns genau aufschlüsseln, wie das passiert ist, wen es betrifft und was das für die Zukunft der Self-Custody bedeutet. 🛡️
Der Exploit: Von „Cold“ zu „Cold, Dead Wallet“ in Sekunden 🧊
Der Angriff, der am 30. Juli begann, richtete sich auf eine kritische Schwachstelle in Coldcard-Firmware-Versionen, die bis März 2021 zurückreichen. Der Fehler lag darin, wie diese Geräte Wallet-Seeds erzeugten.
Der Fehler: Anstatt den sicheren Zufallszahlengenerator der Hardware zu verwenden, leitete ein Firmware-Fehler den Prozess über einen weniger sicheren Software-RNG. Das bedeutete, dass der „Zufalls“-Seed viel weniger zufällig war als beworben, sodass es mathematisch für einen Angreifer möglich wurde, private Schlüssel offline zu rekonstruieren.
Der Angriff: Die erste Welle entleerte in weniger als 30 Minuten ungefähr 594 BTC (38 Mio. USD) aus etwa 500 inaktiven Adressen. Weitere Wellen brachten die gesamten Verluste auf 1.367 BTC (89 Mio. USD) verteilt auf 4.585 Adressen. Galaxy Research stellte fest, dass sich die Taktiken des Angreifers mit jeder Welle weiterentwickelten und systematisch kleinere Guthaben herausgriff.
Wen betrifft es? Ein konkretes Ziel 🎯
Coinkite bestätigte, dass die Schwachstelle Seeds betrifft, die auf Mk2- und Mk3-Geräten erstellt wurden, auf denen bestimmte Firmware-Versionen laufen. Sie wiesen jedoch auch darauf hin, dass Nutzer, die die Entropie ihrer Wallet mit einer unabhängigen Quelle ergänzten (z. B. Würfelwürfe) oder eine starke BIP-39-Passphrase verwendeten (ein 25. Wort), deutlich schwerer zu knacken gewesen wären.
Ausnahme: Produkte wie TAPSIGNER, OPENDIME und SATSCARD waren nicht betroffen.
Die Warnung: Coinkite hat bis zum 1. August eine gepatchte Firmware veröffentlicht, aber das Update behebt nicht einen auf einer anfälligen Version erstellten Seed. Betroffene Nutzer müssen ihre Gelder sofort auf einen neu generierten Seed migrieren.
Die Folgen: Ein Schlag gegen das Vertrauen in Selbstverwahrung 😰
Dieser Vorfall erschwert die Erzählung rund um die Selbstverwahrung. Berichten zufolge haben einige Nutzer begonnen, $BTC wieder zu zentralisierten Börsen zurückzugehen und sie kurzfristig als sicherer einzustufen. Der Angriff zeigt, dass Hardware-Wallets ihre eigene Kategorie von Risiko tragen – nämlich die Integrität der Firmware und das Vertrauen in die Lieferkette – was ebenso katastrophal sein kann wie Börsen-Hacks.
Die Quintessenz: Ein Weckruf 📝
Der Coldcard-Exploit ist ein schwerer Schlag für die Hardware-Wallet-Branche, aber er ist keine Todesnachricht für die Selbstverwahrung. Es ist eine entscheidende Erinnerung daran, dass Sicherheit ein Prozess ist – kein Produkt.
Für Nutzer: Prüfe deine Firmware-Version. Wenn du betroffen bist, migriere zu einem neuen Seed auf gepatchter Firmware oder zu einer anderen Wallet. Eine starke BIP-39-Passphrase ist ein Muss – keine Option.
Für die Branche: Das zeigt, dass es Bedarf an besseren Prüfungen der Firmware-Integrität und an transparenteren Sicherheits-Audits gibt.
Abschließende Erkenntnis
Das Versprechen der Cold Storage ist, dass sie unerreichbar ist. Dieser Angriff beweist, dass sie nur so sicher ist wie der Code, der sie betreibt. Während die Community diesen Verlust verarbeitet, wird die Debatte zwischen Selbstverwahrung und verwalteten Lösungen (wie ETFs) nur noch intensiver. Für den Moment ist die Botschaft klar: Prüfe deine Firmware und diversifiziere dein Risiko.
Hat dich dieser Angriff in deinem Vertrauen in Hardware-Wallets erschüttert? Lass mich unten wissen, was du denkst! 👇