Der Coldcard-Exploit erklärt: Wer hat Bitcoin verloren und wer ist gefährdet?

Laut einer eingehenden Analyse von Galaxy Research ereignete sich der Hauptteil des Diebstahls in einer eng koordinierten Aktion, die etwa 25 Minuten dauerte, während eine umfassendere Analyse später rund 1.196 Adressen und bis zu 1.083 Bitcoin im Wert von fast 70 Millionen US-Dollar mit Aktivitäten in Verbindung brachte, die sich über etwa 41 Minuten erstreckten. Die endgültigen Zahlen könnten sich noch ändern, da die Ermittler weiterhin Transaktionen in der öffentlichen Bitcoin-Blockchain nachverfolgen.

Ein fünf Jahre alter Fehler betrifft Bitcoin-Wallets weltweit

Die betroffenen Wallets gehörten größtenteils Langzeitinhabern, die ihre Wiederherstellungs-Seeds mit Coldcard-Geräten generiert hatten, auf denen eine anfällige Firmware lief, die ab März 2021 veröffentlicht wurde. Coldcard ist eine Air-Gapped-Hardware-Wallet des kanadischen Herstellers Coinkite, die dafür konzipiert ist, Bitcoin (BTC)-Schlüssel von mit dem Internet verbundenen Geräten isoliert zu halten.

Viele der leergeräumten Adressen waren seit Jahren inaktiv. Der Angreifer handelte zügig, zahlte erhöhte feste Transaktionsgebühren und hinterließ keine Restbeträge, was bedeutet, dass jede Adresse vollständig leergeräumt wurde. Dieses Muster deutete auf einen automatisierten Vorgang unter Verwendung einer vorbereiteten Liste privater Schlüssel hin und nicht darauf, dass Kunden ihre Gelder eigenständig transferierten.

Der Diebstahl wurde weder durch Phishing, Malware auf dem Computer eines Nutzers, den Diebstahl eines physischen Geräts noch durch einen herkömmlichen Fernzugriff verursacht. Stattdessen schwächte ein Firmware-Fehler die Zufälligkeit, die bei der Erstellung von Wallet-Seeds durch einige Coldcard-Geräte zum Einsatz kam. Diese Seeds sahen zwar normal aus, stammten jedoch aus einem weitaus kleineren Bereich möglicher Kombinationen, als den Nutzern versprochen worden war.

Der Zufallszahlengenerator von Coldcard versagte unbemerkt

Ein Bitcoin-Wallet-Seed ist ein Geheimnis, das üblicherweise als 12 oder 24 Wörter dargestellt wird und aus dem das Wallet seine Adressen und privaten Schlüssel generiert. Ein ordnungsgemäß generierter 12-Wort-Seed enthält 128 Bit Entropie – ein technisches Maß, das eine enorme Anzahl möglicher Kombinationen beschreibt und das Erraten des Seeds praktisch unmöglich macht.

Coldcard-Geräte sollten diese Zufälligkeit von einem Hardware-Zufallszahlengenerator im Mikrocontroller des Geräts beziehen. Die Komponente nutzt physikalisches elektrisches Rauschen, das ein Außenstehender nicht vorhersagen können sollte.

Während einer Migration der Software-Bibliotheken im Jahr 2021 gab Coinkite jedoch bekannt, dass zwei Zufallszahlfunktionen mit übereinstimmenden Schnittstellen verwechselt wurden. Die eine griff auf den eigentlichen Hardware-Generator des Geräts zu. Die andere war ein schwacher Software-Fallback, der für Boards ohne geeignete Hardware vorgesehen war.

Eine Konfigurationseinstellung deaktivierte den standardmäßigen MicroPython-Hardwarepfad, da Coinkite einen eigenen Hardware-Wrapper bereitstellte. Die Software überprüfte lediglich, ob diese Einstellung vorhanden war, nicht jedoch, ob sie aktiviert war. Da die Einstellung zwar vorhanden war, ihr jedoch der Wert Null zugewiesen war, wurde der Build erfolgreich abgeschlossen, während die Erzeugung der Startwerte unbemerkt auf den schwächeren Software-Generator umgestellt wurde.

Werksdaten und Zeitangaben ersetzten echte Zufälligkeit

Dieser Fallback stützte sich stark auf vorhersehbare Geräteinformationen, darunter eine Chip-Kennung ähnlich einer Seriennummer sowie interne Taktwerte, die mit dem Startzeitpunkt verbunden waren. Ein Angreifer, der diese Eingaben eingrenzen könnte, hätte es mit einem wesentlich kleineren Suchraum zu tun als dem 128-Bit-Bereich, der bei einem sicher generierten Startwert zu erwarten wäre.

Coinkite schätzte den effektiven Suchraum für anfällige Mk3-Seeds unter den aktuellen Annahmen auf etwa 40 Bit. Das ist immer noch eine große Anzahl von Möglichkeiten, die jedoch mit spezialisierter Rechenausrüstung durchsucht werden kann – insbesondere, wenn ein Angreifer potenzielle Seeds mit Bitcoin-Adressen vergleichen kann, die in der Blockchain sichtbar sind.

Spätere Coldcard-Modelle, darunter das Mk4, das Q und das Mk5, fügten durch ein Secure Element zusätzliche Zufälligkeit hinzu. Allerdings gelangte nur ein begrenzter Teil davon zum betroffenen Generator, sodass bei Seeds, die vor der Installation der korrigierten Firmware erstellt wurden, schätzungsweise 72 Bit effektive Entropie verblieben. Das war zwar stärker als beim Mk3, lag aber immer noch unter dem angestrebten 128-Bit-Standard. Der Unterschied ist vergleichbar mit dem Ersetzen einer wirklich zufälligen Schlosskombination durch eine, die sich aus der Seriennummer des Schlosses und dem Zeitpunkt seines ersten Einschaltens ableitet. Die resultierende Kombination mag zufällig aussehen, aber jemand, der die Formel kennt und die Ausgangsinformationen einschätzen kann, kann sie reproduzieren. Viele Nutzer migrieren nicht nur von Mk3-Geräten, sondern auch von Mk4-, Q- und Mk5-Geräten.

Coinkite fordert Nutzer auf, völlig neue Seeds zu erstellen

Coinkite veröffentlichte Sicherheitshinweise und eine korrigierte Firmware, nachdem es von der aktiven Bedrohung Kenntnis erlangt hatte. Das Unternehmen erklärte, dass Nutzer, die Seeds auf der betroffenen Firmware generiert haben, einen völlig neuen Seed mithilfe einer korrigierten Version erstellen und ihre Bitcoins an Adressen übertragen sollten, die von diesem Seed kontrolliert werden.

Die Installation des Updates allein reicht nicht aus. Ein unter dem fehlerhaften System erstellter Seed bleibt dauerhaft anfällig, da das Firmware-Update bereits vorhandenen Wörtern keine Zufälligkeit hinzufügen kann.

Coinkite riet den Nutzern, ihr Gerät zu aktualisieren, einen neuen Seed zu erstellen, das Backup und den Wallet-Fingerabdruck zu überprüfen, die Empfängeradresse zu bestätigen, eine kleine Testtransaktion zu senden und anschließend den verbleibenden Restbetrag zu übertragen. Nutzer sollten das alte Backup aufbewahren, bis die Übertragung bestätigt ist, den alten Seed jedoch nicht länger als sicher betrachten.

Das Unternehmen nannte behobene Versionen, darunter Mk3 Version 4.2.0 oder höher, Mk4 und Mk5 Version 5.6.0 oder höher sowie Q Version 1.5.0Q oder höher, zusammen mit den entsprechenden Edge-Versionen. Die Produkte Tapsigner, Opendime und Satscard verwenden anderen Code und waren Berichten zufolge nicht betroffen.

Zusätzliche Sicherheitsmaßnahmen schützten einige Coldcard-Besitzer

Nutzer, die bei der Generierung eines Seeds genügend unabhängige Würfelwürfe hinzugefügt hatten, waren weitgehend geschützt, da ihre eigene Zufälligkeit die fehlerhafte Softwareeingabe überlagerte. Coinkite erklärte, dass mindestens 50 private Würfe mit einem fairen Würfel einen ausreichenden Schutz vor diesem Problem boten, wobei zusätzliche Würfe eine größere Sicherheitsmarge bieten können.

Eine starke BIP-39-Passphrase erstellt zudem eine separate Wallet, die nicht allein anhand der Seed-Wörter rekonstruiert werden kann. Multi-Signatur-Wallets, bei denen Schlüssel von mehreren Geräten oder Standorten erforderlich sind, bevor Bitcoins bewegt werden können, waren weitgehend oder vollständig geschützt, wenn der anfällige Coldcard-Seed nur einen Teil des Signaturprozesses darstellte.

Diese Sicherheitsvorkehrungen waren jedoch optional. Viele Opfer scheinen die damals verfügbaren Standard-Sicherheitsempfehlungen befolgt zu haben: Kauf einer anerkannten Hardware-Wallet, Offline-Generierung des Seeds, Schutz des Backups und keine Eingabe in ein mit dem Internet verbundenes Gerät.

Coinkite übernimmt die Verantwortung, während sich die Debatte auf KI verlagert

Rodolfo Novak, CEO von Coinkite und weithin bekannt als NVK, entschuldigte sich am 31. Juli öffentlich und erklärte, das Unternehmen übernehme die volle Verantwortung für den Firmware-Fehler. „Es tut mir leid, und ich bin am Boden zerstört. Unser Team ist über die gestrigen Nachrichten zutiefst bestürzt“, schrieb Novak. Er räumte ein, dass der Hotfix zwar neu erstellte Seeds sichert, jedoch keine Seeds reparieren kann, die unter der anfälligen Software generiert wurden.

Novak erklärte, dass Coinkite nach Überprüfung der Details einen vollständigen technischen Bericht veröffentlichen und betroffene Nutzer bei der Erstellung von Polizeiberichten, Versicherungsansprüchen oder unabhängigen Untersuchungen unterstützen werde. Er warnte Entwickler zudem davor, dass KI-Tools (Künstliche Intelligenz) mittlerweile alten, öffentlich zugänglichen Code schneller auf versteckte Schwachstellen scannen können, als dies mit herkömmlichen Überprüfungsprozessen möglich ist.

Coinkite betonte, man müsse davon ausgehen, dass ein Angreifer KI eingesetzt habe, um die Open-Source-Firmware zu untersuchen, obwohl keine Beweise vorliegen, wie die Schwachstelle entdeckt wurde. Das Unternehmen räumte zudem ein, dass eine kürzlich mit einem führenden KI-Modell durchgeführte Überprüfung das Problem nicht identifiziert habe. Mehrere konkurrierende Hersteller von Hardware-Wallets haben in den sozialen Medien darauf hingewiesen, dass ihre Produkte nicht betroffen sind.

„Ledger ist von der kürzlich veröffentlichten Sicherheitswarnung zu Coldcard Mk3 nicht betroffen“, teilte das Unternehmen den X-Nutzern nach dem Coldcard-Vorfall mit. „Ledger-Geräte verwenden einen zertifizierten True Random Number Generator (TRNG), der direkt in unseren Secure-Element-Chip integriert ist und für jede 24 Wörter umfassende geheime Wiederherstellungsphrase volle 256 Bit Entropie erzeugt.“

„Trezor-Nutzer: Eure Guthaben sind sicher“, erklärte der Hardware-Wallet-Hersteller Trezor am Freitag. „Das jüngste Coldcard-Problem beschränkt sich auf deren eigene, maßgeschneiderte Firmware und die Art und Weise, wie einige ihrer Geräte Zufallszahlen generierten. Trezor verwendet diesen Code nicht.“ Der Trezor-X-Account fügte hinzu:

„Wir haben schon immer mehrere unabhängige Zufallsquellen miteinander kombiniert (Gerätehardware + Host + Secure Elements bei neueren Modellen). Wir bedauern zutiefst, dass einige Nutzer Bitcoin verloren haben.“

Was Coldcard-Nutzer als Nächstes beachten sollten

Die Identität des Angreifers ist weiterhin unbekannt, und die gestohlenen Bitcoins könnten jederzeit von ihren Sammeladressen weiterbewegt werden. Die Ermittler arbeiten noch daran, festzustellen, wie viele anfällige Seeds tatsächlich generiert wurden, wie viel Bitcoin weiterhin gefährdet ist und ob der Angreifer bereits weitere Wallets mit hohem Wert identifiziert hat. Allerdings verfügt Coinkite möglicherweise nicht über viele Informationen zu Besitzern aus längst vergangenen Zeiten. „Ein lustiges zweischneidiges Schwert: Coinkite löscht alle Kundendaten nach 120 Tagen, um sich vor Datenlecks zu schützen“, berichtete der Mitbegründer von Casa, Jameson Lopp, auf X. „Das bedeutet, dass sie Kunden, die in den letzten fünf Jahren anfällige Coldcards gekauft haben, nicht erreichen können, um sie vor dieser Sicherheitslücke zu warnen.“

Der Vorfall wird auch zeigen, ob Coinkite das Vertrauen in Coldcard wiederherstellen kann und ob Hersteller von Hardware-Wallets strengere unabhängige Überprüfungen der Seed-Generierung einführen werden. Für die Nutzer ist die unmittelbare Priorität einfacher: Jeder, der einen Seed auf betroffener Firmware ohne starke unabhängige Würfelentropie, eine Passphrase oder Multisignatur-Schutz erstellt hat, sollte diesen als kompromittiert betrachten und seine Guthaben vorsichtig in eine neu generierte Wallet übertragen.

Abgesehen von dem verheerenden Diebstahl schlagen Bitcoin-Nutzer in der gesamten Community Alarm und drängen andere dazu, die Nachricht zu verbreiten, bevor weitere anfällige Wallets leergeräumt werden.