„Sichere" Cold Wallet ausgeraubt: Hacker erbeuten 1367 Bitcoin durch vorhersagbare Passwörter

Sicherheitslücke bei Coldcard erschüttert Krypto-Vertrauen

Hardware-Wallets, auch als „Cold Wallets“ bekannt, gelten in der Krypto-Community als Goldstandard für die sichere Verwahrung von digitalen Vermögenswerten. Da die privaten Schlüssel offline gespeichert werden, sind sie vor den typischen Angriffen auf internetbasierte „Hot Wallets“ geschützt. Ein aktueller Vorfall beim kanadischen Hersteller Coinkite zeigt jedoch, dass auch diese Speicherlösungen anfällig für schwerwiegende Sicherheitsmängel sind.

Wie Berichte bestätigen, gelang es Angreifern, sich Zugriff auf über 4500 Wallets zu verschaffen. Die Bilanz ist beträchtlich: Rund 1367 Bitcoin, was einem Gegenwert von etwa 86 Millionen US-Dollar (ca. 75 Millionen Euro) entspricht, wurden entwendet. Die Analysefirma Galaxy Research deckte das Ausmaß des Diebstahls auf, nachdem Nutzer vermehrt über den Verlust ihrer Bestände geklagt hatten.

Die Ursache: Vorhersagbare Seed-Phrases

Der Kern des Problems liegt in einer Software-Schwachstelle, die bereits im Jahr 2021 durch eine Firmware-Umstellung bei Coinkite eingeführt wurde. Eine Seed-Phrase, die aus einer zufälligen Wortfolge besteht, dient als Master-Schlüssel für den Zugriff auf das Wallet. Die Sicherheit dieses Systems basiert zwingend auf der Unvorhersehbarkeit dieser Folge.

Untersuchungen von Sicherheitsexperten bei Block Inc. ergaben, dass die fehlerhafte Firmware die Seed-Phrases nicht mit ausreichender Zufälligkeit generierte. Stattdessen wurden deterministische Werte, wie etwa die Seriennummer des jeweiligen Geräts, in den Prozess einbezogen. Dies ermöglichte es Hackern, die Schlüssel systematisch neu zu berechnen und die Wallets zu kompromittieren.

Warum Offline-Speicherung allein nicht reicht

Der Vorfall verdeutlicht eine kritische Schwachstelle im Sicherheitsverständnis vieler Krypto-Nutzer. Aneirin Flynn, Geschäftsführer des Cybersicherheitsunternehmens Failsafe, betonte gegenüber Bloomberg, dass die Sicherheit eines Hardware-Wallets maßgeblich von der zugrunde liegenden mathematischen Korrektheit abhängt. Wenn die Software, die die Passwörter generiert, fehlerhaft ist, verliert das Gerät seine Schutzfunktion, unabhängig davon, ob es offline betrieben wird.

Handlungsbedarf für betroffene Nutzer

Obwohl Coinkite den Softwarefehler inzwischen behoben hat, bleibt das Risiko für Bestände, die mit der alten Firmware gesichert wurden, bestehen. Die bloße Aktualisierung der Firmware ist laut Hersteller nicht ausreichend, um die Sicherheit wiederherzustellen. Nutzer, die ihre Seed-Phrases mit der anfälligen Software generiert haben, stehen vor folgenden notwendigen Schritten:

* **Firmware-Update:** Die Installation der aktuellen, sicheren Softwareversion ist zwingend erforderlich.

* **Neue Seed-Phrase:** Es muss zwingend eine neue, zufällig generierte Seed-Phrase erstellt werden.

* **Vermögenstransfer:** Die Bitcoin-Bestände müssen auf ein Wallet mit einer neu erstellten, sicheren Seed-Phrase übertragen werden.

Dieser Vorfall dient als Mahnung, dass technologische Sicherheit bei Kryptowährungen ein dynamischer Prozess ist und auch renommierte Hardware-Anbieter keine absolute Garantie gegen gezielte Angriffe bieten können.