LONDON (IT BOLTWISE) – Eine Schwachstelle in Coldcard-Hardware-Wallets hat binnen weniger als 30 Minuten rund 594 Bitcoin aus etwa 500 Single-Signature-Wallets abgezogen. Verantwortlich war, dass betroffene Geräte ab Firmware 4.0.0 bei der Seed-Erzeugung den Hardware-Randomness-Generator übersprangen und auf vorhersagbare Software-Quellen ausweichen. Laut Analyse traf es vor allem Seeds, die auf Mk3-Geräten unter bestimmten Firmware-Versionen erzeugt wurden. Gleichzeitig deuten die bisherigen Einschätzungen darauf hin, dass spätere Modelle wie Mk4, Q und Mk5 zunächst nicht betroffen sind.
Die betroffenen Spuren liegen nicht in einem einzelnen Transaktionswrack, sondern in einer eng getakteten Abfolge: Zwischen 01:31 und 01:56 UTC sollen rund 594 Bitcoin in etwa 25 Minuten aus circa 500 einzelnen Single-Signature-Wallets abgeräumt worden sein. Dabei verteilte sich der Abfluss auf 500 Transaktionen, in denen insgesamt 1.324 „Chunks“ bewegt wurden. Auffällig ist auch das Muster nach dem Sweep: 562 BTC wurden anschließend in einer Adresse zusammengeführt, die nach den veröffentlichten Angaben zunächst nicht weiter bewegt wurde. Für viele Nutzer ist der Kernpunkt damit nicht der Kurs-Ausschlag, sondern der Umstand, dass diese Coins zuvor über Jahre still lagen und Werte ab 2021 bis 2026 umfassten.
Technisch betrachtet beginnt die Schwachstelle nicht bei einem klassischen Netzwerkangriff, sondern im Moment der Schlüsselherstellung. Coldcard ist eine Hardware-Wallet von Coinkite, die Bitcoin-Private-Keys offline speichert und so den direkten Zugriff per kompromittiertem Computer aushebelt. Genau diese Idee wird allerdings durch die Art der Entropie beschädigt, die im Gerät zur Seed-Generierung genutzt wird. Laut einer technischen Aufarbeitung der Sicherheits- und Engineering-Teams fiel in Firmware 4.0.0 (eingeführt im März 2021) eine Build-Konfiguration auf, die den Hardware-Randomness-Generator übersprang und auf eine Software-Variante zurückfiel. Entscheidender Fehler: Eine Prüflogik in einer unterstützenden Bibliothek kontrollierte nur, ob das entsprechende Schalter-Symbol vorhanden war – nicht, ob der Schalter tatsächlich aktiv war.
Damit entstanden Schlüssel nicht aus einem schwer vorhersagbaren Zufallsraum, sondern aus Daten, die für Angreifer zumindest in der Praxis eingrenzbar sind. Der Ersatz-Seed wurde aus nicht geheimen Chip-Daten gespeist: dem Seriennummern-Metadatum aus der Fabrik und Zeitregistern, die Timing-Zustände abbilden. Ein Angreifer, der ein eigenes Gerät mit ähnlicher Ausstattung betreibt oder die relevanten Zeitfenster messen kann, kann die möglichen Seed-Varianten stark reduzieren. In der Analyse wird der Ursprung auf einen Commit vom 1. März 2021 zurückgeführt, der in der später ausgelieferten Firmware 4.0.0 gebündelt wurde. Die Konsequenz lautet: Exposure hing laut Warnhinweisen nicht davon ab, wann die Hardware gekauft wurde, sondern davon, mit welcher Firmware die Seed beim Wallet-Initialisieren erzeugt wurde.
Für die Praxis nennt Coinkite deshalb eine konkrete Risiko-Spanne: Nutzer, die Seeds auf Mk3-Geräten unter Firmware 4.0.1 oder später erzeugt hatten, wurden gewarnt. Gleichzeitig heißt es, dass Mk4, Q und Mk5 nach „früher Analyse“ nicht betroffen seien. Dieses Detail ist wichtig, weil es den häufigsten Denkfehler adressiert: Viele stellen auf „Gerätestand“ statt auf „Seed-Erzeugungszeitpunkt und Firmware-Zustand“ ab. Die Auswertung der abgezogenen Wallets passt zu genau dieser Logik: Alle betroffenen Wallets waren Single-Signature-Wallets, hatten mehr als 0,15 BTC und deckten zeitlich die Lebensdauer der Schwachstelle nahezu deckungsgleich mit dem Zeitraum der Firmware-Einführung ab. Dass der Marktpreis offenbar nur wenig sichtliche Reaktion zeigte, entkoppelt den technischen Vorfall damit von einer kurzfristigen Liquiditäts- oder Panikdynamik.
Die Tragweite endet dabei nicht bei Seed-Phrasen für deterministische Wallets. In der beschriebenen Architektur erzeugt derselbe Zufallsmechanismus auch Paper-Wallet-Private-Keys, wobei das Ausgabeformat direkt zum Private Key wird, ohne weitere Ableitungsstufen. Ebenso wird Seed-Splitting in Maskenform, Geräteklonierungs-/Transfer-Mechanismen und „Key Teleport“-Transfers über vergleichbare Generatorpfade adressiert. Damit verschiebt sich das Risiko von „ein bestimmter Seed ist kompromittiert“ hin zu „bestimmte Export- und Wiederherstellungswege könnten ebenfalls schwächer sein“. Für Teams, die Wallet-Prozesse automatisieren oder im Unternehmen standardisieren, bedeutet das: Selbst wenn der tägliche Betrieb offline bleibt, muss die Qualität der Entropie-Quelle im Gerät zum Zeitpunkt der Initialisierung kontrolliert werden.
Markt- und Branchenwirkung zeigt sich vor allem in der Art, wie Hardware-Sicherheitsmodelle bewertet werden. Die Industrie hatte über Jahre gelernt, dass „offline“ Angriffsflächen reduziert, aber Implementierungsfehler in kryptografischen Grundbausteinen nicht entschärft. Genau darum werden solche Bugs heute nicht nur als „Firmware-Thema“ behandelt, sondern als Prozessfrage: Wie werden Generatoren abgesichert, wie werden Build-Flags validiert, und welche Tests prüfen, dass eine Quelle wirklich aktiv Zufall liefert? Für zukünftige Hardware-Wallets ist daraus eine klare Anforderung ableitbar: Validierungen dürfen nicht auf das Vorhandensein von Schaltern reduziert sein, sondern müssen in der Laufzeit nachweisbar die tatsächliche Entropie-Strategie belegen. Bis dahin bleibt für betroffene Nutzer die praktische Konsequenz, dass die sichere Nutzung weniger vom Modellnamen abhängt als von der konkreten Firmware, unter der die Seeds erzeugt wurden.
Auch aus Verteidigungssicht ist der Fall instruktiv: Die Veröffentlichung der Analyse erfolgte laut Darstellung ohne vollständige Exploit-Validierung, weil die Ausnutzung bereits im Gange war. Das macht deutlich, wie eng Transparenz, Risikoabschätzung und Incident Response inzwischen zusammenlaufen. Für Wallet-Betreiber heißt das in der Praxis: Sicherheitsupdates müssen schnell verstanden und operational umgesetzt werden; parallel sollte man die eigenen Wallet-Historien danach prüfen, welche Seeds wann und auf welchen Firmwareständen erzeugt wurden. Solange der verantwortliche Pfad nicht vollständig geschlossen und in der Community nachvollziehbar verifiziert ist, bleibt die wichtigste Schutzmaßnahme nicht „noch mehr Aufmerksamkeit“, sondern die konsequente Aktualisierung und die korrekte Bewertung des Entropiepfads im Initialisierungsprozess.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Coldcard-Firmware 4.0.0: KI-Plattform? Nein—Schwachstelle stiehlt 594 BTC von Wallets" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Coldcard-Firmware 4.0.0: KI-Plattform? Nein—Schwachstelle stiehlt 594 BTC von Wallets" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Coldcard-Firmware 4.0.0: KI-Plattform? Nein—Schwachstelle stiehlt 594 BTC von Wallets« bei Google Deutschland suchen, bei Bing oder Google News!