LONDON (IT BOLTWISE) – Ledger bewertet den Coldcard-Exploit als Warnsignal für die Hardware-Wallet-Branche. Im Zentrum steht die Frage, wie Geräte kryptografische Zufälligkeit erzeugen, denn davon hängt die Sicherheit der Wiederherstellungsdaten ab. Laut Ledger sind die eigenen Wallets nicht betroffen, weil sie den Secret-Recovery-Phrase-Wert aus einem zertifizierten Secure-Element-RNG ohne Software-Fallback ableiten. Gleichzeitig beschreibt das Unternehmen, wie KI die Suche nach Schwachstellen beschleunigt und Security-Teams daher „maschinen-schnell“ reagieren müssen.
Der Coldcard-Exploit trifft die Hardware-Wallet-Branche an einer Stelle, die in der Praxis oft unterschätzt wird: nicht beim eigentlichen Verschlüsselungsalgorithmus, sondern bei der Frage, woher die kryptografische Zufälligkeit kommt. Ledger argumentiert, dass die komplette Sicherheitsannahme einer Hardware-Wallet „steht und fällt“ mit dem Zufall, der für die wiederherstellbaren Wallet-Seed-Daten erzeugt wird. Konkret geht es um die Recovery Phrases, also die typischerweise 24 Wörter, aus denen sich die deterministischen Schlüssel ableiten lassen. Sobald der Zufallsprozess schwach oder fehlkonfiguriert ist, kann das die Entropie so stark reduzieren, dass Angreifer Suchräume praktisch verkleinern und private Schlüssel ableiten. Genau diese Art von Schwachstelle beschreibt Ledger als Kernbotschaft des Vorfalls.
Ausgangspunkt war die Offenlegung einer Schwachstelle im air-gapped Coldcard Bitcoin Hardware Wallet, die auf einen Firmware-Build aus dem März 2021 zurückgeht. Der Fehler nutzte dabei nach den Angaben aus der Branche einen Software-Fallback anstelle des hardwarebasierten Zufallszahlengenerators des Geräts. Dadurch wurden Recovery Seeds nicht in der erwarteten Qualität aus dem echten Hardware-RNG gespeist, was laut den Berichten dazu führte, dass bestimmte private Keys „guessable“ wurden. In der Folge erreichten die Verluste nach bisherigen Angaben etwa 130 Millionen US-Dollar, während weitere Diebstähle noch untersucht werden. Auch wenn „air-gapped“ im Marketing für isolierte Systeme steht, zeigt der Fall, dass die Trennung von Netzwerkzugriff und die Qualität des RNG zwei verschiedene Sicherheitsdimensionen sind.
Ledger hebt im Vergleich dazu seinen eigenen Hardware-Ansatz hervor: Die eigenen Wallets beziehen das Root Secret, also die 24-Wort Secret Recovery Phrase, aus einem „true“ Hardware-Random-Number-Generator, der direkt in einem zertifizierten Secure Element eingebaut ist. Nach Darstellung von Ledger soll dabei keine Software-Fallback-Logik existieren, die im Fehlerfall auf weniger vertrauenswürdige Zufallsquellen ausweicht. Der CTO Charles Guillemet betont zudem, dass der Generator für jeden Seed die vollständigen 256 Bits Entropie liefert. Für Security-Architekten ist das mehr als ein Marketing-Satz: In der Praxis wird Sicherheit häufig über Prüfberichte, Zertifizierungen und Modelle zur Bedrohungsannahme verankert. Wenn die eigentliche Entropiequelle aber nicht konsequent aus dem zertifizierten Pfad kommt, entstehen Lücken, die sich selbst dann öffnen können, wenn die Kryptografie-Implementierung ansonsten korrekt wirkt.
Auch die Art, wie solche Fehler entdeckt werden, verändert sich gerade deutlich. Ledger verknüpft den Coldcard-Vorfall mit der Rolle von Künstlicher Intelligenz bei der Schwachstellensuche. Im Unternehmensblick kann KI Code scannen, Konfigurationen durchsuchen und Muster erkennen, die menschliche Reviewer übersehen, und zwar in der Geschwindigkeit, die bisher eher Tools und automatisierten Scannern vorbehalten war. Diese Beschleunigung wirkt doppelt: Für Angreifer wird es leichter, öffentlich verfügbare Implementierungen systematisch nach möglichen Abweichungen zu untersuchen, für Verteidiger dagegen steigt der Druck, dass Reviews und Audits ebenfalls „bei Maschinen-Tempo“ stattfinden müssen. Ledger fordert deshalb Security by Design, ergänzt durch Hardware-Entropie und mathematische Nachvollziehbarkeit statt nur durch einmalige Prüfungen am Ende der Entwicklung.
Historisch betrachtet ist das Thema „RNG-Qualität“ im Wallet-Umfeld keines, das erst mit KI relevant wurde. Schon früh waren Schwachstellen bekannt, die auf schlecht gesicherte Zufallsquellen, deterministische Artefakte oder fehlerhafte Seed-Initialisierungen zurückgingen. Neu ist eher die Kombination aus zwei Faktoren: Erstens bleiben manche Schwächen lange in öffentlichen Codebasen, weil sie nicht sofort triggern oder nur in Randfällen sichtbar werden. Zweitens können moderne KI-gestützte Suchmethoden die Zeit verkürzen, bis ein Muster in Code und Firmware als potenzielle Schwachstelle erkannt wird. Ledger verweist darauf, dass ein in öffentlichen Code enthaltenes Problem, das über Jahre verborgen blieb, erst durch den Einsatz von KI-gestützter Analyse entdeckt worden sei. Für Unternehmen bedeutet das: Es reicht nicht, auf „Offenheit“ zu setzen, denn Offenlegung ist nicht automatisch gleichbedeutend mit wirksamer Überprüfung.
Ledger ordnet das Vorgehen zudem in den laufenden Prozess der eigenen Code-Reviews ein. Das Unternehmen erklärt, es habe in den vergangenen zwei Jahren sowohl KI als auch menschliche Security Engineers und Kryptografen genutzt, um Codebereiche systematisch zu prüfen und potenzielle Schwachstellen vor einem Angriff zu identifizieren. Ergänzend nennt Ledger ein eigenes Research-Labor („Donjon“), das Produkte gezielt testen soll, bevor externe Akteure dies tun können. Solche Strukturen sind für die Wallet-Industrie besonders wichtig, weil sich Fehler häufig in der Kombination zeigen: etwa wenn Firmware-Pfade, Fehlerbehandlung und kryptografische Initialisierung zusammenwirken. Genau hier können Software-Fallbacks entstehen, die im Normalbetrieb nie aktiv werden, aber im Ausnahmefall eine Sicherheitsgarantie brechen. Ein Laboransatz, der auch diese Grenzfälle erzwingt und Angriffsmodelle durchspielt, wirkt deshalb wie eine Ergänzung zu formalen Zertifizierungen.
Für Anwender formuliert Ledger daraus eine konkrete Erwartung an Evaluation und Einkauf: Wer eine Hardware-Wallet bewertet, sollte verstehen, wie sie Zufälligkeit erzeugt, und ob dieser Prozess unabhängig zertifiziert ist. Das Unternehmen bringt die Aussage auf die knappe Formel, dass Zufall aus physikalischen Quellen kommen müsse und nicht nur „in einem Modell“ behauptet werden darf. Damit ist die zentrale Prüffrage nicht, ob ein Vendor einen RNG „einsetzt“, sondern ob der vollständige Entropiepfad im realen Betrieb zuverlässig und ohne ausweichende Software-Mechanismen in der erwarteten Qualität läuft. Gerade bei Geräten, die als „tamper-resistant“ oder „secure element based“ vermarktet werden, wird die Zertifizierungs- und Audit-Kette zum entscheidenden Differenzierungsmerkmal.
Am Ende zeigt der Coldcard-Fall in Verbindung mit Ledger’s Position vor allem eines: Hardware-Wallet-Sicherheit ist eine Systemeigenschaft. Kryptografie-Primitive können stark sein, während die entscheidenden Schwachstellen am Rand des Systems entstehen – etwa im Umgang mit Fehlerfällen, in der Firmware-Kompatibilität über Releases hinweg oder in der Art, wie Entropie in der Praxis bereitgestellt wird. Wenn KI künftig noch breiter für Code- und Konfigurationsanalyse eingesetzt wird, verschiebt sich das Gleichgewicht weiter in Richtung kontinuierlicher, automatisierter Prüfungen, die menschliche Kryptografie-Expertise nicht ersetzen, aber beschleunigen. Für die Industrie heißt das: Audits müssen nicht nur „stattfinden“, sondern in den relevanten Codepfaden auch wirklich bis zur Entropiequelle durchgreifen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Ledger warnt vor Coldcard-Exploit: Hardware-Zufall muss AI-schnell getestet werden" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Ledger warnt vor Coldcard-Exploit: Hardware-Zufall muss AI-schnell getestet werden" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Ledger warnt vor Coldcard-Exploit: Hardware-Zufall muss AI-schnell getestet werden« bei Google Deutschland suchen, bei Bing oder Google News!