LONDON (IT BOLTWISE) – Bei Coldcard-Hardwarewallets wird ein Softwarefehler diskutiert, der Angreifern offenbar das Abgreifen von rund 1.000 Bitcoins ermöglicht haben soll. Betroffen seien demnach Wallets mit insgesamt mehr als 1.100 Adressen; Schätzungen sprechen von etwa 70 Millionen US-Dollar nach einem Zeitraum von weniger als einer Stunde. Coinkite hat zwar ein Firmware-Update bereitgestellt, warnt aber ausdrücklich, dass bereits generierte Seeds damit nicht automatisch „repariert“ werden. Nutzer sollen deshalb einen neuen Recovery-Seed erzeugen und die Coins in eine neu abgesicherte Wallet migrieren.
Die Meldung trifft vor allem einen sensiblen Punkt im Bitcoin-Sicherheitsmodell: Coldcard gilt in der Praxis als Hardwarewallet, weil sie Schlüsselmaterial weitgehend offline hält und dadurch Angriffe über das Internet erschwert. Genau diese Sicherheitsannahme wird nun durch einen Fehler in bestimmten Coldcard-Versionen herausgefordert, wie es in einem sicherheitstechnischen Bericht sowie einer begleitenden Einordnung durch das Security-Team von Block beschrieben wird. Laut den Auswertungen sollen Angreifer in sehr kurzer Zeit große Beträge aus Wallets entwendet haben; die Größenordnung wird dabei auf Basis von Blockchain-Analysen geschätzt, nicht durch eine direkte Bestätigung, dass jede betroffene Wallet tatsächlich mit der fehlerhaften Software erzeugt wurde.
Konkret geht es um einen Coding-Fehler, der eine zentrale Schutzfunktion der Wallet in bestimmten Firmware-Versionen geschwächt haben könnte. Der Mechanismus ist dabei weniger „magisch“ als viele erwarten: Wenn die Schwäche dazu führt, dass Recovery Phrases („Seed Phrases“) unter bestimmten Bedingungen weniger zufällig bzw. vorhersehbar werden, kann ein Angreifer die Phrase rekonstruieren, ohne das Gerät physisch in die Hand zu nehmen. Das setzt allerdings technische Voraussetzungen voraus, etwa dass die betroffenen Seeds im Setup- oder Generierungsprozess anfällig waren und der Angreifer den richtigen Suchraum abbilden kann. Coinkite ordnet das deshalb klar als Seed-bezogene Schwachstelle ein: Das Update soll neue Seeds absichern, aber es soll bereits erstellte Seeds nicht „nachträglich“ korrigieren.
Die öffentlich diskutierten Vorfälle umfassen mehrere Wellen verdächtiger Abflüsse. Demnach werden für einen ersten Zeitraum am 30. Juli Abflüsse im Umfang von über 1.000 Bitcoins aus knapp 1.196 Wallets in weniger als einer Stunde genannt; später soll es weitere verdächtige Aktivitäten gegeben haben, wodurch die Gesamtschätzung auf nahezu 89 Millionen US-Dollar ansteigt. Wichtig ist die Einschränkung: Die ermittelnden Stellen betonen, dass sie aus on-chain Daten und Mustern ableiten, während noch unklar bleibt, wie groß der Anteil der tatsächlich betroffenen Wallets ist. Für die Praxis bedeutet das: Sicherheitsteams können nicht einfach „ein paar Treffer“ abhaken, sondern müssen davon ausgehen, dass es eine strukturelle Lücke im Seed-Handling gab, bis die genaue Abfolge der Ausnutzung abgeschlossen bewertet ist.
Damit wird auch verständlich, warum Coinkite nicht mit einer klassischen „Firmware aufspielen und fertig“-Botschaft durchkommt. In der Sicherheitsnotiz heißt es sinngemäß, dass das Aktualisieren der Firmware keinen Seed repariert, der bereits durch die betroffene Software generiert wurde. Stattdessen müssen Nutzer einen neuen Seed erzeugen und die Coins in die neu abgesicherte Wallet migrieren. Zusätzlich warnt Coinkite davor, nur die Recovery Phrase in eine andere Wallet zu übernehmen, denn die Schwäche folgt dann der Phrase selbst und nicht dem physischen Gerät. Gerade dieser Punkt ist für IT- und Security-Entscheider relevant: Es geht nicht um eine veränderte Zugriffsschnittstelle, sondern um die Qualität der anfänglichen Zufallswerte, auf denen die gesamte Schlüsselableitung beruht.
Coinkite hat außerdem die Nutzerkommunikation stark beschleunigt. Der CEO Rodolfo Novak hat sich öffentlich entschuldigt und übernimmt dabei die Verantwortung für den Firmware-Fehler; in der Kommunikation fordert das Unternehmen betroffene Kunden zu sofortigem Handeln auf und kündigt an, nach Abschluss der technischen Bewertung eine detaillierte Erklärung zu veröffentlichen. Praktisch nennt Coinkite als nächstes Vorgehen: Nutzer sollen – sofern sie nicht sicher sind, wie ihr Seed generiert wurde – eine neue Recovery Phrase anlegen und dann die Bitcoin in die neu gesicherte Wallet übertragen. Das Unternehmen nennt dabei auch einen Fall, der nicht als alleinige Ausnutzungsgrundlage gilt: Seeds, die mit mindestens 50 privaten Würfen (private dice rolls) erzeugt wurden, seien von dieser konkreten Schwachstelle nicht in gleicher Weise betroffen; gleichzeitig empfiehlt Coinkite bei Unsicherheit trotzdem die Neugenerierung als Sicherheitsmaßnahme.
Für den Markt stellt sich damit eine Zweifachfrage: Wie schnell können Nutzer die richtige Migration durchführen, und wie bewerten Wallet-Ökosysteme ihre Seed-Generation gegen ähnliche Angriffswege? In der Branche verbreiten sich solche Warnungen typischerweise rasch über Community- und Entwicklerkanäle, weil die Angreifer – sobald der Exploit „in der Wildnis“ existiert – mit hoher Frequenz nach verwertbaren Seeds suchen können. Parallel dazu prüfen andere Wallet-Anbieter, die zwar nicht als betroffene Produktlinie genannt werden, aber ähnliche Sicherheitsmuster adressieren: Entwickler einer anderen Wallet-Lösung erklären etwa, dass sie ein gemeldetes Problem untersuchen, jedoch keinen Stopp der Nutzung empfehlen. Für Unternehmensanwender mit Treasury-Verantwortung, Krypto-Beständen oder Custody-Prozessen heißt das am Ende vor allem: Recovery- und Seed-Policies müssen als Teil des Sicherheitslebenszyklus verstanden werden, nicht als „Einmal-Setup“.
Aus technischer Sicht zeigt der Vorfall außerdem, wie wichtig die konkrete Implementierung von Entropiequellen, Zufallsgenerierung und darauf aufbauenden Schutzmechanismen ist. Selbst wenn ein Wallet-Gerät keine Netzwerkverbindung hat, kann eine Schwäche im Seed-Generierungsprozess reichen, um Offline-Schutz zu unterlaufen. Gleichzeitig liefert der Umgang mit der Lücke eine klare Lernkurve für Hersteller: Ein Firmware-Update ist nur dann ausreichend, wenn es die betroffenen Schlüsselmaterialien tatsächlich ersetzt oder bereits generierte Seeds garantiert sicher macht. Bei Seed-basierten Systemen bleibt daher oft nur der harte Weg über Neugenerierung und Migration – genau diesen Schritt empfiehlt Coinkite explizit, um das Risiko im Bestand zu reduzieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Coldcard-Hardwarewallet: Update reicht nicht – Seed neu erzeugen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Coldcard-Hardwarewallet: Update reicht nicht – Seed neu erzeugen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Coldcard-Hardwarewallet: Update reicht nicht – Seed neu erzeugen« bei Google Deutschland suchen, bei Bing oder Google News!