TORONTO / LONDON (IT BOLTWISE) – Bei Coldcard, einer Bitcoin-Only-Hardware-Wallet, ist ein Softwarefehler aufgedeckt worden, der Angreifern offenbar die Rekonstruktion von Seed Phrases ermöglicht. Laut On-Chain-Auswertung wurden bereits mehr als 1.500 Bitcoin aus betroffenen Adressen abgezogen. Coinkite empfiehlt betroffenen Nutzern, die Firmware zu aktualisieren und bestehende Seeds zu ersetzen, da das Update nur für neu erzeugte Seeds schützt. Offen bleibt, wer hinter den Angriffen steckt und wie groß der Gesamtschaden letztlich ausfällt.
Coldcard steht für den Anspruch, Bitcoin-Keys so offline wie möglich zu verwahren: Die Hardware-Wallet speichert nicht „den Bitcoin“ selbst, sondern hält Seed Phrases auf dem Gerät, damit die Transaktionssignaturen ohne Internetverbindung entstehen. Genau dieses Sicherheitsversprechen geriet jedoch unter Druck, als Coinkite einen Bug meldete, der es Hackern angeblich erlaubte, Seed Phrases ausgenutzter Geräte zu rekonstruieren. Die Folge war nicht nur ein klassischer Diebstahl über kompromittierte Online-Dienste, sondern eine Schwachstelle in der Firmware, die die Grundlage des Signierens berührt.
Technisch erklärt Coinkite das Problem rückblickend so, dass die betroffene Firmware ab März 2021 statt des vorgesehenen hardware-gebundenen True-Random-Number-Generators einen deterministischen Pseudo-Random-Generator verwendete. Damit steigt die Wahrscheinlichkeit, dass Seed-Phrase-Werte weniger entropiehaltig sind als gedacht oder sich in einem Angriffsmodell reproduzieren lassen. Für Nutzer ist die Unterscheidung entscheidend: „Cold Storage“ funktioniert weiterhin als Offline-Konzept, aber wenn die Zufallsquelle für das Erzeugen der Seed Phrases mathematisch nicht so ist, wie das Sicherheitsmodell annimmt, kann ein „Passwort“, also die Seed, aus dem Fehler ableitbar werden.
In der aktuellen Schadensbilanz stützt sich das Geschehen auf eine On-Chain-Analyse eines Blockchain-Intelligence-Anbieters. Die Auswertung nennt drei bestätigte Attack-Waves und weitere kleinere Vorfälle mit insgesamt 1.596 gestohlenen Bitcoin aus rund 7.300 Adressen. Dabei bleibt laut Analyse etwa 90 Prozent der entwendeten Coins zunächst in denselben Wallets, in die sie nach dem Diebstahl geflossen sind; sie wurden also (noch) nicht weiter in andere Adressen verschoben, verkauft oder getauscht. Für die Ermittlungs- und Reaktionslage bedeutet das: Angreifer könnten Zeit zur weiteren Konsolidierung einplanen, während Analysten Adressen und Muster sichtbar verfolgen.
Coinkite reagierte mit Firmware-Updates für betroffene Produkte und sprach eine klare Handlungsaufforderung aus. Rodolfo Novak, Mitgründer und CEO von Coinkite, riet laut Advisory, die Gelder „now“ zu bewegen, nachdem die Updates verfügbar waren. In einer weiteren Nachricht betonte er zudem: „We know an apology doesn’t return anyone’s funds. We know we’ll have to earn back our users’ trust.“ Wichtig ist der operative Punkt: Das Update schützt laut Unternehmen nur Seeds, die nach dem Fix neu generiert wurden. Existierende Seed Phrases, die auf fehlerhafter Firmware entstanden, bleiben demnach gefährdet und sollten ersetzt werden – auch dann, wenn die Geräte selbst physisch unberührt geblieben sind.
Für die Nutzerkommunikation zählt außerdem, dass das Risiko nicht mit dem Kaufdatum endet: Denn das Problem hängt am Seed-Erzeugungsprozess in der Firmware und damit an der konkreten Historie des Geräts. Galaxy Research empfiehlt daher, „keine neue Seed“ auf den betroffenen Modellen zu erzeugen, bevor das Update installiert ist, und ordnet die nächsten Schritte entlang von Migration und Risikoabbau ein. In der Praxis heißt das für viele Unternehmen und Wallet-Besitzer: Bestandsportfolios sollten in eine kontrollierte Umgebung überführt werden, etwa über Custodians oder Exchanges, oder zumindest auf einen frischen Seed, der nach dem Fix entstanden ist. Coinkite rät außerdem, das Gerät nicht vorschnell zu entsorgen, falls später eine Wiederherstellung von Mitteln eine Rolle spielen sollte.
Gleichzeitig verschiebt der Vorfall den Blick von der Hardware-„Offline“-Erzählung hin zur Softwarekette dahinter. Aneirin Flynn, CEO der Cybersecurity-Technologie-Firma FailSafe, beschreibt in einem Interview den Kernmechanismus: „The device is just responsible for generating your passwords, and if the underlying math is broken then your passwords can be reverse-engineered.“ Der juristische und prozessuale Unterbau wird ebenfalls sichtbar: Galaxy Research sagt, Details zu Angreifer- und Opferadressen seien mit Strafverfolgungsbehörden in den USA, mit Krypto-Börsen und mit Cyber-Investigation-Gruppen geteilt worden. Gerade bei mehreren Jurisdiktionen wird dadurch aus einem „Firmware-Bug“ schnell ein koordinationsintensiver Incident.
Als zusätzlicher Hinweis kommt die Aussage von Coinkite, dass die Ursache nicht nur rein technischer Natur sei, sondern auch in ein breiteres Entwicklungsumfeld hineinwirke. Novak warnte andere Entwickler: KI-gestützte Code-Review könne latente Fehler schneller finden, aber man müsse auch mit Angreifern rechnen, die Systeme und Logs ähnlich schnell auswerten. Das ist weniger ein technischer Zusatz zum konkreten Bug als eine Management-Lehre für die KI-Ära: Sicherheitsannahmen wie „True Random“ müssen durch Verifikations- und Reproduzierbarkeitsprüfungen abgesichert werden, nicht nur im Design dokumentiert bleiben. Unklar bleibt derzeit, wer die Angriffe durchführte; dennoch zeigt der Fall, wie eng moderne Wallet-Sicherheit an der Qualität der Zufalls- und Seed-Generierung hängt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Coldcard-Hack: Softwarefehler ermöglicht Seed-Rekonstruktion, über 100 Mio. USD betroffen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Coldcard-Hack: Softwarefehler ermöglicht Seed-Rekonstruktion, über 100 Mio. USD betroffen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Coldcard-Hack: Softwarefehler ermöglicht Seed-Rekonstruktion, über 100 Mio. USD betroffen« bei Google Deutschland suchen, bei Bing oder Google News!