LONDON (IT BOLTWISE) – Ein Coldcard-Hardwarewallet-Build-Flag soll die Zufallsquelle für die Seed-Generierung in bestimmten Fällen still heruntergestuft haben. Dadurch konnten Angreifer laut den verfügbaren Auswertungen große Teile von Seeds systematisch durchsuchen und Gelder aus tausenden Adressen bewegen. Besonders betroffen waren Wallets, bei denen die Geräte-Seed-Entropie nicht über die erwartete Hardware-Zufallsstrecke abgesichert wurde. Die Diskussion in der Branche verschiebt sich damit weg von „Phishing“ hin zu Firmware-Review, Root-Entropy und dem Umgang mit schwer sichtbaren Downgrade-Fails.
Die Schlagzeile wirkt wie ein Lehrbuchbeispiel für Selbstverwahrung, die in der Praxis an einem einzigen technischen Detail scheitert: In der Nacht vom 29. Juli sollen Gelder im Umfang von 18,25245043 Bitcoin aus Adressen abgeflossen sein, die auf Coldcard-generierten Seeds basierten. Coinkite, der Hersteller der Hardware, rief Nutzer zu einer Migration ihrer Bestände auf und verwies darauf, dass es keinen klassischen Diebstahl oder Phishing gab. Das Muster ist damit nicht „Social Engineering trifft Kryptosicherheit“, sondern „Firmware trifft Entropie“: Ein Hardware-Wallet ist in der Sicherheitskette nur so stark wie die Qualität des Zufalls, der aus dem Gerät heraus zur Root-Secret-Seed-Quelle wird.
Konkret beschreibt der Vorfall nach den vorliegenden technischen Darstellungen einen Build-Setting in der Coldcard-Firmware, das eine dedizierte Hardware-Randomness-Komponente beim Schlüssel-/Seed-Prozess übersprang. Eine begleitende Bibliothek habe zwar geprüft, ob dieses Build-Setting vorhanden ist, aber nicht, ob es tatsächlich aktiv geschaltet ist. Damit fiel die Seed-Generierung auf eine softwarebasierte Ersatzableitung um: statt qualitativ hoch entropiegestützter Zufallsbits wurde die Seed aus dem Chip-Seriennummernmaterial und Registerzuständen geformt, also aus Quellen, die im Ergebnis reproduzierbar durchsucht werden können. Für viele Walletbesitzer ist das der Kern des Problems: Selbst wenn Geräte nie ins Internet gehen und Seeds nie geteilt werden, kann ein deterministischer Ersatz in der Zufallskette die Sicherheitsannahme sprengen.
Für die Marktwirkung ist vor allem die Größenordnung der Folgebewegungen relevant. Seit dem 30. Juli seien laut Auswertungen insgesamt rund 1,816 Bitcoin aus mehr als 5.200 Adressen bewegt worden, die auf Coldcard-Geräten generiert worden sein sollen. Eine größte „Sweep“-Bewegung wird mit 1,082 Bitcoin aus 1,196 Wallets angegeben und als innerhalb von 41 Minuten broadcastet beschrieben. Eine weitere Welle habe am Montag weitere 709 Adressen geleert. Bitcoin habe dabei durchgehend in einer Spanne um 64.300 USD gehandelt, also ohne „Preisrauschen“-Trigger für zusätzliche Liquiditätsflüsse – die Attacke scheint vielmehr ein technisches Timing auf Basis der Seed-Rekonstruktion gewesen zu sein als eine Reaktion auf Marktbewegungen.
Aus technischer Sicht macht der Vorfall außerdem deutlich, wie eng Sicherheitsparameter an konkrete Gerätegenerationen und an Nutzereinstellungen gekoppelt sind. Auf Mk4, Mk5 und Q habe die reproduzierbare Suchraumgröße in den Beschreibungen bei etwa vier Milliarden Möglichkeiten gelegen, während auf dem älteren Mk3 die effektive Zufallsqualität von 128 Bits auf ungefähr 40 Bits gefallen sein soll. Laut denselben Angaben hätten Besitzer, die mindestens 50 „private dice rolls“ genutzt oder eine starke Passphrase gewählt hätten, weniger oder gar keinen Schaden erlitten – was in der Praxis eine sehr kleine, aber nicht Null-Gruppe betrifft. Das ist auch der Grund, warum die Branche so heftig über „Review“ diskutiert: Ein Build-Flag kann in offenen Repositories sichtbar sein, aber die Schutzwirkung hängt daran, ob Sicherheitskritik nicht nur „vorhanden“, sondern auch „aktiv vermieden“ wird, und ob die Entropiepfade unter allen Kompilations- und Laufzeitzuständen geprüft werden.
In der Sicherheitsdebatte prallten daraufhin zwei Lesarten aufeinander. Einerseits verwiesen Sicherheitsverantwortliche darauf, dass ein Flag zum Deaktivieren eines Hardware-Random-Number-Generators eine klassische Engineering-Falle sei, die bei konventioneller Prüfung über Jahre hinweg hätte auffallen müssen. Andererseits zog der Hersteller eine breitere, KI-fokussierte Lehre: In einem neuen Paradigma könne eine KI-gestützte Code-Review latente Fehler mit höherer Geschwindigkeit finden als ein rein manuelles Audit. Diese Position wurde jedoch von anderen Akteuren inhaltlich relativiert – insbesondere mit dem Argument, dass „Open Source Firmware“ nicht automatisch mit „bessere Sicherheit“ gleichzusetzen sei, wenn Downgrade-Pfade existieren. Für Firmen, die Self-Custody-Lösungen einsetzen, verschiebt sich damit die Checkliste: weniger Vertrauen in „Transparenz“ als mehr Vertrauen in modellierte Root-Entropy, Threat-Model-Abdeckungen und Tests, die nicht nur Existenz, sondern tatsächliches Verhalten im Zielsystem validieren.
Parallel ist die Diskussion über Selbstverwahrung in den Vordergrund gerückt: Mehrere Stimmen ordneten den Vorfall als weitere Bestätigung, dass Kaltlager trotz Hardware weiterhin von subtilen Implementationsfehlern abhängt. Andere sprachen die „dice-roll escape hatch“ offen an und stellten die Machbarkeit für 99% der Nutzer infrage – nicht, weil die Option unsicher wäre, sondern weil die Nutzungsvoraussetzung die Sicherheitsstufe für den Normalfall nicht erreicht. Vertreter institutioneller Verwahrung argumentierten dagegen, dass regulierte Custodians bei großen Beständen besser passen, weil sie operative Risiken bündeln und nicht in einem einzelnen Gerät als Single Point of Failure konzentrieren. In dieser Spannung zwischen „maximale Kontrolle“ und „geteilte Verantwortlichkeit“ zeigt sich, warum der Markt in kryptografischen Hardwarethemen so schnell polarisieren kann.
Auch die strategische Ebene lässt sich aus dem zeitlichen Kontext ableiten. In der Quelle wird erwähnt, dass ein großer Corporate-Holder in den Tagen vor und nach dem Vorfall 1,638 Bitcoin für 104,7 Millionen USD verkauft haben soll, um Kapitalmaßnahmen wie bevorzugte Dividenden und Rückkäufe zu finanzieren. Das bedeutet nicht automatisch eine direkte Kausalität zum Hack – aber es unterstreicht, dass Timing in Kryptomärkten selten „nur technischer Natur“ ist. Ein weiterer Kommentar aus der Unternehmensebene betont, dass Angreifer neue Angriffsvektoren häufig schneller ausnutzen als Infrastruktur- oder Security-Teams reagieren können. Für Unternehmen, die eine Treasury in Krypto führen oder Hardwarewallet-Flotten im Betrieb managen, lautet die Konsequenz daher: Firmware-Updates, Verifikation der tatsächlichen Entropiepfade und Migrationsprozesse müssen so organisatorisch vorbereitet sein, dass sie nicht erst nach einem öffentlich sichtbaren Exploit starten.
Coinkite erklärte, die Untersuchung dauere an und eine technische Überprüfung solle folgen; außerdem unterstützt das Unternehmen Nutzer beim Einreichen von Polizeiberichten und bei Versicherungsansprüchen, ohne jedoch eine vollständige Kompensation anzubieten. Unabhängig davon, wie sich die technischen Details im Detail bestätigen, bleibt die Kernbotschaft stabil: Der Sicherheitswert von Hardware-Wallets hängt nicht nur an kryptografischen Standards, sondern an implementierten Annahmen – insbesondere an der lückenlosen Verankerung von Zufallsquellen in sicherem Hardwareverhalten. Wenn Angreifer nicht phishen müssen, sondern Seed-Räume durch reduzierte Entropie systematisch durchgehen können, wird aus „Cold Storage“ faktisch ein Software-Betriebssystem mit einem einzigen, hochkritischen Fehlerpfad. Genau dort muss die nächste Generation von Prüfungen ansetzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Coldcard-Hardwarewallet-Hack: Wie ein Build-Flag die Seed-Zufallsquelle unterlief" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Coldcard-Hardwarewallet-Hack: Wie ein Build-Flag die Seed-Zufallsquelle unterlief" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Coldcard-Hardwarewallet-Hack: Wie ein Build-Flag die Seed-Zufallsquelle unterlief« bei Google Deutschland suchen, bei Bing oder Google News!