1816 BTC, 5200 Adressen, 1,16 Milliarden US-Dollar – Wie wurde eine Schwachstelle im Coldcard-Hardware-Wallet zum Auslöser der „Krypto-Vertrauenskrise“?
Am 4. August bestätigte Galaxy Research, dass die auf eine Coldcard-Schwachstelle zurückgehenden Diebstahl-Ketten mittlerweile die vierte Welle erreicht haben. In einer einzigen Welle wurden 449 BTC abgezogen, 709 Adressen betroffen: Insgesamt 1816 BTC und mehr als 5200 Adressen fielen dem Angriff zum Opfer – 1,16 Milliarden US-Dollar waren plötzlich wie weggeblasen.
Alles begann mit einem Stück Code.
Im März 2021 veröffentlichte Coinkite ein Firmware-Update. Eine beiläufige Fehlkonfiguration führte dazu, dass das Gerät beim Erzeugen der Seed-Phrase die Hardware-Zufallszahl übersprang und stattdessen auf ein Software-Konzept zurückfiel, das auf Seriennummer und Uhrzeit basiert. Der ursprünglich mit 128 Bit Entropie berechnete Wert fiel auf dem Mk3 auf nur 40 Bit – damit gab es nur noch 4 Milliarden mögliche Kombinationen. Verstehst du, was das bedeutet? Die Schwierigkeit eines Brute-Force-Angriffs sank von „selbst der Tod des Universums würde es nicht schaffen“ auf „läuft ein bisschen mit der GPU, und es gibt ein Ergebnis“. Der Riegel ist aus Stahl, aber das Schloss ist aus Schlamm geformt.
Noch magischer wird es danach: Diese Zeitbombe, die in einem Open-Source-Repository versteckt war, schlummerte ganze 5 Jahre, bis jemand den Code einmal mithilfe von KI durchgerechnet hat.
Anthropic’s Claude Code – 8 Minuten.
Doch schon zuvor hatten die Coinkite-Ingenieure mehrfach manuelle Reviews durchgeführt, sogar mit KI-gestützter Prüfung – und dennoch wurde nichts entdeckt.
Boltz stellte den Dienst direkt ein. Eine nicht verwaltete Austauschplattform, bei der die Gelder theoretisch nicht in Obhut genommen werden, sollte eigentlich sicherer sein – und doch wurde sie durch einen fortlaufenden, KI-unterstützten Angriff regelrecht aus dem Tritt gebracht. Nicht einmal oder zweimal, sondern kontinuierlich. Das Tempo der Iteration der Angreifer ist mittlerweile so hoch, dass „Betrieb pausieren“ für die Plattform zur rationalsten Entscheidung geworden ist.
Wenn selbst die sicherste Art der Speicherung eine systemische Schwachstelle aufweist, wird zur Existenzfrage, wohin man sein Vermögen überhaupt legen soll. Börse? Nicht zuverlässig. Hardware-Wallet? Auch nicht zuverlässig. Dezentrale Protokolle? KI knackt sie inzwischen im Monatsrhythmus. Vertrauen – wenn es einmal fällt, lässt es sich nicht einfach wieder aufrichten. Diese 1816 BTC, die ausgehoben wurden, beschädigen nicht nur den Ruf eines Produkts, sondern die dünne Sicherheitsschicht, von der die gesamte Branche lebt.
#Coldcard事件损失超1亿美元
Am 4. August bestätigte Galaxy Research, dass die auf eine Coldcard-Schwachstelle zurückgehenden Diebstahl-Ketten mittlerweile die vierte Welle erreicht haben. In einer einzigen Welle wurden 449 BTC abgezogen, 709 Adressen betroffen: Insgesamt 1816 BTC und mehr als 5200 Adressen fielen dem Angriff zum Opfer – 1,16 Milliarden US-Dollar waren plötzlich wie weggeblasen.
Alles begann mit einem Stück Code.
Im März 2021 veröffentlichte Coinkite ein Firmware-Update. Eine beiläufige Fehlkonfiguration führte dazu, dass das Gerät beim Erzeugen der Seed-Phrase die Hardware-Zufallszahl übersprang und stattdessen auf ein Software-Konzept zurückfiel, das auf Seriennummer und Uhrzeit basiert. Der ursprünglich mit 128 Bit Entropie berechnete Wert fiel auf dem Mk3 auf nur 40 Bit – damit gab es nur noch 4 Milliarden mögliche Kombinationen. Verstehst du, was das bedeutet? Die Schwierigkeit eines Brute-Force-Angriffs sank von „selbst der Tod des Universums würde es nicht schaffen“ auf „läuft ein bisschen mit der GPU, und es gibt ein Ergebnis“. Der Riegel ist aus Stahl, aber das Schloss ist aus Schlamm geformt.
Noch magischer wird es danach: Diese Zeitbombe, die in einem Open-Source-Repository versteckt war, schlummerte ganze 5 Jahre, bis jemand den Code einmal mithilfe von KI durchgerechnet hat.
Anthropic’s Claude Code – 8 Minuten.
Doch schon zuvor hatten die Coinkite-Ingenieure mehrfach manuelle Reviews durchgeführt, sogar mit KI-gestützter Prüfung – und dennoch wurde nichts entdeckt.
Boltz stellte den Dienst direkt ein. Eine nicht verwaltete Austauschplattform, bei der die Gelder theoretisch nicht in Obhut genommen werden, sollte eigentlich sicherer sein – und doch wurde sie durch einen fortlaufenden, KI-unterstützten Angriff regelrecht aus dem Tritt gebracht. Nicht einmal oder zweimal, sondern kontinuierlich. Das Tempo der Iteration der Angreifer ist mittlerweile so hoch, dass „Betrieb pausieren“ für die Plattform zur rationalsten Entscheidung geworden ist.
Wenn selbst die sicherste Art der Speicherung eine systemische Schwachstelle aufweist, wird zur Existenzfrage, wohin man sein Vermögen überhaupt legen soll. Börse? Nicht zuverlässig. Hardware-Wallet? Auch nicht zuverlässig. Dezentrale Protokolle? KI knackt sie inzwischen im Monatsrhythmus. Vertrauen – wenn es einmal fällt, lässt es sich nicht einfach wieder aufrichten. Diese 1816 BTC, die ausgehoben wurden, beschädigen nicht nur den Ruf eines Produkts, sondern die dünne Sicherheitsschicht, von der die gesamte Branche lebt.
#Coldcard事件损失超1亿美元