#coldcardtheftinvestigationadvances
„Nicht deine Schlüssel, nicht deine Coins.“
Sofern die Schlüssel nicht vorhersehbar waren. 👀
Ein Sicherheitsvorfall bei einer Coldcard soll zu einer der größten Hardware-Wallet-Diebstahlermittlungen der bisherigen Aufzeichnungen herangewachsen sein.
Der Schaden bisher:
→ ~2.055 BTC betroffen
→ ~$130 Mio. an geschätzten Verlusten
→ Die Schwachstelle bestand für ~5 Jahre
→ Eine große Welle hat in nur 41 Minuten 1.196 Adressen geleert
Und hier kommt der erschreckende Teil.
Der Angreifer soll keinen physischen Zugriff auf das Wallet benötigt haben.
Das Problem lag nicht bei Bitcoin.
Es lag an der Zufälligkeit.
Einigen betroffenen Geräten zufolge könnten sie während der Seed-Erzeugung auf einen schwächeren Pseudo-Zufallsprozess zurückfallen, wodurch der mögliche Seed-Bereich wesentlich leichter anzugreifen ist als beabsichtigt.
Doch hier ist die versteckte Falle:
Das Aktualisieren der Firmware behebt nicht automatisch einen alten Seed.
Wenn das Geheimnis unter anfälligen Bedingungen erzeugt wurde, macht das Patchen des Geräts dieses Geheimnis nicht wieder zufällig.
Und das ist die Wendung.
Wir denken oft, dass Open-Source-Code mehr Augen und bessere Sicherheit bedeutet.
Aber dass der Code öffentlich ist, garantiert nicht, dass die Verteidiger den Bug finden, bevor die Angreifer es tun.
Square Insight:
Selbstverwahrung beseitigt das Gegenparteirisiko. Sie entfernt kein Software-Risiko.
Wenn ein Cold Wallet ohne physischen Zugriff kompromittiert werden kann, was garantiert „Cold Storage“ dann eigentlich?
#Bitcoin #Crypto #Security
$BTC
„Nicht deine Schlüssel, nicht deine Coins.“
Sofern die Schlüssel nicht vorhersehbar waren. 👀
Ein Sicherheitsvorfall bei einer Coldcard soll zu einer der größten Hardware-Wallet-Diebstahlermittlungen der bisherigen Aufzeichnungen herangewachsen sein.
Der Schaden bisher:
→ ~2.055 BTC betroffen
→ ~$130 Mio. an geschätzten Verlusten
→ Die Schwachstelle bestand für ~5 Jahre
→ Eine große Welle hat in nur 41 Minuten 1.196 Adressen geleert
Und hier kommt der erschreckende Teil.
Der Angreifer soll keinen physischen Zugriff auf das Wallet benötigt haben.
Das Problem lag nicht bei Bitcoin.
Es lag an der Zufälligkeit.
Einigen betroffenen Geräten zufolge könnten sie während der Seed-Erzeugung auf einen schwächeren Pseudo-Zufallsprozess zurückfallen, wodurch der mögliche Seed-Bereich wesentlich leichter anzugreifen ist als beabsichtigt.
Doch hier ist die versteckte Falle:
Das Aktualisieren der Firmware behebt nicht automatisch einen alten Seed.
Wenn das Geheimnis unter anfälligen Bedingungen erzeugt wurde, macht das Patchen des Geräts dieses Geheimnis nicht wieder zufällig.
Und das ist die Wendung.
Wir denken oft, dass Open-Source-Code mehr Augen und bessere Sicherheit bedeutet.
Aber dass der Code öffentlich ist, garantiert nicht, dass die Verteidiger den Bug finden, bevor die Angreifer es tun.
Square Insight:
Selbstverwahrung beseitigt das Gegenparteirisiko. Sie entfernt kein Software-Risiko.
Wenn ein Cold Wallet ohne physischen Zugriff kompromittiert werden kann, was garantiert „Cold Storage“ dann eigentlich?
#Bitcoin #Crypto #Security
$BTC