LONDON (IT BOLTWISE) – Der Coldcard-Wallet-Drain zeigt, wie stark die Seed-Generierung über die echte Hardware-Zufallsquelle hinaus entscheidend ist. Eine Firmware-Schwäche ließ offenbar Seeds mit einem schwachen deterministischen Zufall erzeugen, obwohl das Gerät eigentlich einen Hardware-RNG anbietet. Betroffen wurden laut Auswertung innerhalb von 41 Minuten 1.196 Adressen und dabei 1.082,65 BTC im Wert von rund 70,2 Mio. USD bewegt. Strike-Chef Jack Mallers und der Krypto-Ökonom Changpeng Zhao raten zur schnellen Überprüfung und zur Risikoverteilung auf mehrere Wallets.
Der Coldcard-Drain beschäftigt in den letzten Tagen besonders viele Nutzer, weil er eine unbequeme Annahme im Hardware-Wallet-Ökosystem erschüttert: „Hardware sicher“ reicht offenbar nicht automatisch, wenn die Seed-Generierung nicht wirklich auf dem dafür vorgesehenen Zufallsmechanismus basiert. Strike-CEO Jack Mallers ordnete den Vorfall dabei sehr klar ein: „one of the most serious Bitcoin wallet security breaches to date.“ Auslöser der Diskussion ist eine Schwachstelle in Coldcard-Firmware, die offenbar dazu führte, dass das Wallet statt des Hardware-RNG (Random Number Generator) zeitweise auf einen deutlich vorhersagbareren deterministischen Software-RNG zurückfiel. Damit wurde nicht nur ein einzelner Vorgang fehlerhaft, sondern die Kryptografie-Startposition: Wer den Seed schwächen kann, kann im Extremfall auch die darauf basierenden privaten Schlüssel ableiten.
Technisch betrachtet hängt die Sicherheit von Bitcoin-Wallets an der Entropie, die bei der Seed-Erzeugung entsteht. Aus einem ausreichend großen Zufallswert werden private Keys beziehungsweise Ableitungswege bestimmt; solange dieser Wert wirklich unvorhersehbar bleibt, ist das Raten effektiv ausgeschlossen. Genau hier setzte der Fehler an: Laut den Angaben von Block’s Engineering-Team funktionierte die Firmware in bestimmten Fällen nicht korrekt und „silently failed to use the device’s hardware random number generator“, stattdessen sprang sie auf einen deterministischen Software-Generator um. Entscheidend ist außerdem die zeitliche Dimension: Mallers nannte, dass der Bug bereits auf März 2021 zurückgeht. Wer in dieser Phase einen Seed aus einer betroffenen Generierungskette erstellt hat, trägt die Schwäche potentiell in jede spätere Wallet-Instanz, die aus demselben Seed aufgebaut wird.
Die Marktauswirkungen lassen sich anhand der beobachteten Abflüsse greifbar machen. In einer Auswertung von Galaxy Research heißt es, dass innerhalb eines 41-Minuten-Fensters am Donnerstag 1.196 Adressen vollständig „geswept“ wurden, und zwar für insgesamt 1.082,65 BTC. Bei einem damaligen Preisniveau entspräche das rund 70,2 Mio. USD. Auffällig war dabei das Abflussmuster: Jede Sweep-Transaktion habe eine identische, fest eincodierte Gebühr oberhalb des Marktpreises verwendet und keine Change-Ausgabe erzeugt. Dieses Bild spricht eher für automatisiertes Vorgehen mit festem Skript- und Gebührenprofil als für impulsives manuelles Bewegen durch Wallet-Inhaber. Gerade diese Kombination aus Seed-Schwäche und automatisiertem Abgriff hilft zu erklären, warum der Vorfall so schnell eskalierte.
Dass es sich nicht einfach um „eine Wallet hat einen Patch verpasst“ handelt, betont Strike-Chef Mallers ebenfalls in seiner praktischen Handlungsanweisung. Er warnte sinngemäß davor, dass das Zurückspielen eines kompromittierten Seeds auf ein neues Wallet das Problem nicht behebt, weil die Schwäche bereits in der Seed-Entstehung steckt. Stattdessen empfiehlt er betroffenen Nutzern, die Gelder auf neu erstellte Wallets zu transferieren, die auf „unaffected hardware“ basieren. Als Übergang bot Strike zudem eine Wallet-interne Austauschoption an. Damit wird in der Praxis ein Grundprinzip sichtbar: Bei Seed-basierten Systemen ist die Korrektur dort nötig, wo die Entropie entsteht, nicht nur im späteren Umgang mit Adressen.
Ein zweiter, oft unterschätzter Punkt kommt von Changpeng Zhao, der als Mitgründer von Binance kommentierte, dass selbst Hardware-Wallets Bugs haben können und dass „nothing is 100%“. Seine Empfehlung läuft auf das bekannte Risikomodell hinaus, das in vielen Krypto-Setups ohnehin gilt: nicht alles in eine einzelne Wallet-Kette zu legen. Gleichzeitig bleibt diese Strategie nicht ohne Nebenwirkungen, denn die Aufteilung auf mehrere Wallets erhöht die organisatorische Komplexität und kann bei falscher Adressverwaltung ebenfalls Fehler begünstigen. Besonders unter dem Eindruck eines Seed-Kompromisses wird deutlich, warum Diversifizierung in der Sicherheitsarchitektur eher „Haushaltsversicherung“ als „Garantieschein“ ist: Sie reduziert die Trefferfläche, eliminiert aber nicht die Notwendigkeit, die Seed-Quelle sauber und überprüfbar zu halten.
Für die Branche bedeutet der Vorfall vor allem eine schärfere Betrachtung der gesamten Entropiekette im Wallet-Design. Hardware-RNGs sind zwar ein starkes Sicherheitsargument, aber sie sind nur so gut wie der Softwarepfad, der entscheidet, wann und wie der RNG verwendet wird. Das Problem, das in Coldcard-Firmware sichtbar wurde, zeigt dabei einen typischen Risikowinkel: Wenn Firmware-Logik stillschweigend auf einen Fallback-Generator wechselt, kann der Nutzer diese Abweichung im Normalbetrieb kaum erkennen. Deshalb rücken in der Praxis Verifikation und Setup-Checks nach vorn: Wer Hardware-Wallets betreibt, sollte nicht nur Updates installieren, sondern auch prüfen, ob die betroffene Seed-Generierungskette tatsächlich auf der vorgesehenen Zufallsquelle basiert. Gleichzeitig bleibt offen, wie breit sich die betroffenen Firmware-Versionen und Nutzer-Setups in der Realität verteilt haben; für Unternehmen und Security-Teams zählt deshalb jetzt vor allem der systematische Abgleich, welche Seeds aus welchen Zeitfenstern stammen und wie konsequent Transfers in intakte Schlüsselmaterialien vorgenommen wurden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Coldcard-Drain: Schwacher RNG in Firmware legt Seed-Sicherheit offen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Coldcard-Drain: Schwacher RNG in Firmware legt Seed-Sicherheit offen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Coldcard-Drain: Schwacher RNG in Firmware legt Seed-Sicherheit offen« bei Google Deutschland suchen, bei Bing oder Google News!