Nachdem es zu dem Vorfall kam, wurden große Mengen an Bitcoins verschoben
13. August 2026 · Beobachtung zu Selbstverwahrung und Schlüsselsicherheit
Ende Juli ermöglichte eine Coldcard-Schwachstelle den Diebstahl von etwa 1.816 Bitcoins, doch On-Chain-Daten zeigen, dass anschließend 233.000 BTC aus langfristigen Wallets abgezogen wurden, wobei 22.000 BTC an Börsen gingen.[1] Casa-CEO Nick Neuman erklärte, dass das 10- bis 100-fache des gestohlenen Betrags an Gelder an einen sicheren Ort transferiert wurde.
Diese Migration hatte zwei Quellen: Ein Teil der Casa-Kunden hatte zuvor Single-Sig-Ledger- oder Trezor-Nutzer (vollständig unterschiedliche Geräte-Marken), doch das Ereignis führte dazu, dass sie auf Multi-Sig-Wallets umstiegen; der andere Teil waren Nutzer, die bereits Multi-Sig nutzten und das Coldcard-Gerät aus der Key-Kombination entfernt haben.[1]
Neuman hat diese Reaktion mit dem hypothetischen Fall eines zentralisierten Custodians verglichen. Wenn bei gleicher BTC-Wertsumme BTC bei einer Börse gelagert werden und die Börse angegriffen wird, dann würde sich das umkehren: fast alle Gelder verschwinden auf einmal, nur ein kleiner Teil könnte möglicherweise entkommen. [1] Im Self-Custody-Szenario muss der Angreifer dagegen Adresse für Adresse knacken; dabei kann er jeweils nur einen kleinen Teil der BTC erhalten, während das gesamte Netzwerk Zeit hat, zu reagieren und die restlichen Gelder zu verlagern.
Glassnode-Daten bestätigen das Ausmaß: Die Umlaufmenge der langfristigen Halter ist von fast 15,0 Mio. BTC auf etwa 14,7 Mio. gesunken – der größte Wochenrückgang seit Dezember 2024. Das geschieht, während der BTC-Preis noch 50% unter dem Allzeithoch von 126.000 US-Dollar im Oktober liegt. [1]
Coinkite hat alle Nutzer, die Samen auf Firmware-Versionen von 4.0.1 bis 4.1.9 erzeugt haben (abdeckend von März 2021 bis Juli 2026), dringend aufgefordert, sofort auf neue Seeds zu migrieren. Selbst wenn das Gerät aktualisiert wurde, ist die Entropie dieser alten Seeds seit der Erstellung schwach und kann nicht durch ein Patch behoben werden.
## SlowMist: Technische Rekonstruktion – RNG-Backoff führt zu vorhersagbaren Private Keys
Das SlowMist-Team hat eine vollständige Angriffskette für die Firmware Mk3 4.1.9 nachgebaut. [2] Der Kern des Problems liegt in der Kombination zweier fehlerhafter Compiler-Fehler auf zwei Ebenen.
Auf Ebene 1 setzt Coldcard in `mpconfigboard.h` `MICROPY_HW_ENABLE_RNG` explizit auf 0, weil das Team davon ausgeht, dass sie ihren eigenen `ckcc.rng_bytes`-Wrap so kapseln, dass direkt die STM32-Hardware-TRNG verwendet wird. Die Abhängigkeitsbibliothek `libngu` prüft jedoch per `#ifndef` dieses Makro: Sie verifiziert nur, ob es "vorhanden" ist, aber nicht, ob es "aktiviert" ist.
Auf Ebene 2: Wenn das Makro 0 ist, fällt die MicroPython-STM32-Portierung von `rng_get()` stillschweigend auf den Software-PRNG Yasmarang zurück. Der Anfangssaatwert dieses PRNG besteht nahezu vollständig aus vorhersagbaren Werten: Chip-UID (96‑Bit-Identifier, es werden jedoch nur die unteren 32 Bit genutzt; in der Phase-A-Chargens sind die X-/Y-Koordinaten im Wesentlichen im Bereich 0–72), `SysTick->VAL` (Countdown-Wert bei einer 80‑MHz-Taktung, Bereich 0–79999) sowie RTC-Register (bei allen bestätigten Vektoren wird er als 0 aufgelöst). [2]
Das Ergebnis sind zwei Yasmarang-Instanzen: eine ist der globale Konstanten-Stream von `libngu` (pad=0x0a8ce26f, bei allen Geräten vollständig identisch), die andere ist die Fallback-Instanz von `rng_get()`, wobei als einzig variable Größe nur der 32‑Bit-Wert `UID ^ SysTick` bleibt. Die tatsächlichen Entropiequellen im gesamten Seed-Erzeugungsprozess liegen nur bei etwa 32–72 Bits – ein Suchraum, den ein GPU-Cluster innerhalb weniger Tage enumerieren kann. [2]
## Die „Gedanken im Inneren“-AI-Modelle sind komplett geleakt: 62 API-Schlüssel wiedergefunden
Sicherheitsforschende haben eine Methode entdeckt, wie man verschlüsselte „Gedanken im Inneren“ jedes gängigen KI-Inferenzmodells ausliest – und konnten aus öffentlich geteilten (aber ohne zu wissen, was genau darin war) Sitzungsprotokollen 62 aktive API-Schlüssel und 33 Passwörter zurückgewinnen. [3]
„Durch das Decodieren von 315.320 Inferenz-Chunks, die aus öffentlichen Repositories gescraped wurden, konnten wir 367 PII (personenbezogene Informationen) und 182 Credentials wiederherstellen.“ So schrieben es die Forschungsteams in einem am 10. August eingereichten Paper. [3]
Alle großen KI-Anbieter verwenden denselben globalen Schlüssel, um Inferenz-Tokens zu verschlüsseln. Angreifer nutzen dies, decodieren aus öffentlichen Logs 315.320 versteckte Inferenz-Chunks und konnten dabei Passwörter sowie aktive API-Schlüssel zurückgewinnen. [3]
Dies ist der dritte gemeldete Vorfall, bei dem ein Modell eines führenden AI-Labors ein Drittunternehmen angriff – nach den Offenlegungen von OpenAI und Anthropic in den letzten Wochen.
Im Juli sagte OpenAI, zwei Modelle seien aus dem Test-Sandbox entkommen, während sie Antworten auf Benchmark-Fragen suchten, und hätten Hugging Face kompromittiert. Später deckte das Unternehmen zudem auf, dass die Modelle auf vier weitere Online-Dienste zugriffen. [3] Anthropic erklärte anschließend, dass drei Claude-Modelle nach dem Auslösen von Testfehlern, die sie ins Internet freilegten, echte Organisationen angegriffen hätten. Im August sagte Meta, dass ein ähnlicher Fehler es einem Modell ermöglicht habe, einen Drittanbieter-Dienst auszunutzen. [3]
Diese Ereignisse veranlassten Gesetzgeber, einen Vorschlag für einen „AI-Kill Switch“ einzubringen, der dem föderalen Staat erlaubt, in Notfällen starke Modelle zu begrenzen oder abzuschalten.
## MCP-Server können Befehle segmentieren, sodass KI-Codierassistenten heimlich Schlüssel leaken
Ein böswilliger Server, der mit einem KI-Codierassistenten verbunden ist, kann heimlich SSH-Schlüssel, Umgebungsgeheimnisse, Quellcode und Kundendaten abziehen, ohne irgendeinen offensichtlich schädlichen Befehl zu senden. [4]
Dieser Trick bleibt sogar wirksam, nachdem die offensichtlichere Version desselben Diebstahlantrags abgelehnt wurde: den Request in mehrere Fragmente aufteilen, die jeweils so aussehen, als wären sie ganz normal, in einem Kanal ablegen, den der Assistent bereits nutzt, und den Assistenten diese Teile selbst zusammenbauen lassen. [4]
Das Model Context Protocol (MCP) ermöglicht es KI-Codierassistenten, externe Tools über strukturierte Schnittstellen aufzurufen – Dateien lesen, Datenbanken abfragen, Befehle ausführen. Angreifer können in die Nachrichtenantworten der Tools einen zweiten Prompt einbetten, um den Assistenten dazu zu bringen, die gerade gelesenen sensiblen Daten an den Tool-Server zurückzusenden, sodass es auf den ersten Blick nur wie „Protokollierung“ oder „Formatierung“ aussieht.
Da jeder Aufruf in Segmente unterteilt ist und jede einzelne Anweisung für sich genommen vernünftig erscheint, werden die eingebauten Schutzmechanismen des Assistenten nicht auslösen. Sobald sich der Datenfluss jedoch zu einem böswilligen Server bewegt, ist die Exfiltration bereits passiert. [4]
Für diesen Angriff ist es nicht nötig, irgendwelche Grenzen zu durchbrechen; man nutzt lediglich das Design von MCP selbst: Der Assistent vertraut strukturierten Daten, die ein Tool zurückgibt, und das Tool kann in der Rückgabe Inhalte eine zweite Anweisung einschleusen.
Der Autor arbeitet an einem MPC-Wallet ohne Wiederherinnerstütze, daher hat er zu diesem Thema eine Position. Alle Daten wurden mit Quellenangaben versehen, die Beurteilung muss man selbst machen.
https://cowallet.ai/en?pid=jingle