War die KI für die Entdeckung der Coldcard-Sicherheitslücke verantwortlich?

Eine koordinierte Abzockaktion leert Hunderte von Wallets

Der Vorfall wurde öffentlich bekannt, nachdem am 30. Juli rund 594 BTC – mit einem damaligen Wert von fast 38 Millionen US-Dollar – von etwa 500 Bitcoin-Adressen mit einfacher Signatur transferiert wurden. Als die Nachricht erstmals bekannt wurde, stellte Bitcoin.com News fest, dass die Transfers innerhalb von etwa 25 Minuten erfolgten und offenbar auf Wallets abzielten, die eine gemeinsame technische Schwachstelle aufwiesen.

Spätere Analysen der Blockchain erweiterten das mögliche Ausmaß des Diebstahls. Forscher schätzten, dass innerhalb eines Zeitraums von etwa 41 Minuten zwischen 1.082 und 1.196 Adressen betroffen gewesen sein könnten. Ein spezielles Dashboard namens „Coldcard Sweep Watch“ bezifferte die Gesamtsumme anschließend auf 1.128,4717 BTC, was einem Wert von etwa 71,1 Millionen US-Dollar entsprach, als der Bitcoin-Kurs bei knapp 63.044 US-Dollar lag.

Der Großteil der Gelder wurde auf eine Adresse konsolidiert, die Hunderte von Bitcoin enthielt, wobei ein großer Teil davon weitgehend unberührt blieb. Die betroffenen Adressen hatten ein wichtiges Detail gemeinsam: Ihre Wiederherstellungs-Seeds waren auf Coldcard-Hardware-Wallets erstellt worden, die von dem kanadischen Unternehmen Coinkite hergestellt wurden.

Ein Wiederherstellungs-Seed ist eine Liste von Wörtern, die den Zugriff auf eine Kryptowährungs-Wallet steuert. Wer diesen Seed rekonstruieren oder in seinen Besitz bringen kann, ist in der Regel in der Lage, die Gelder der Wallet zu bewegen, ohne das physische Gerät zu besitzen.

Coldcard entdeckt ein fehlerhaftes Zufallsgeneratorsystem

Coinkite veröffentlichte eine dringende Warnung, dass bestimmte auf Coldcard-Geräten generierte Seeds möglicherweise unsicher seien. Mk3-Geräte mit der Firmware-Version 4.0.1, die etwa im März 2021 veröffentlicht wurde, sowie spätere Versionen gehörten zu den am stärksten gefährdeten.

Weitere Analysen weiteten die Bedenken auf Seeds aus, die auf einigen Mk4-, Mk5- und Q-Geräten erstellt wurden, bevor Coinkite Notfall-Firmware-Korrekturen veröffentlichte. Produkte von Tapsigner, Opendime und Satscard waren Berichten zufolge nicht betroffen, da sie andere Software verwenden.

Die Schwachstelle betraf den Prozess zur Erzeugung von Zufallsdaten. Sichere Wallets sind auf eine hohe Zufallsqualität angewiesen, damit ihre Wiederherstellungs-Seeds nicht erraten werden können. Bei den am stärksten betroffenen Mk3-Geräten schätzten die Forscher, dass der Seed möglicherweise nur etwa 40 Bit effektive Zufälligkeit statt der beabsichtigten 128 Bit enthielt.

Dieser Unterschied ist entscheidend. Ein ordnungsgemäß generierter 128-Bit-Seed gilt als praktisch unmöglich, durch Brute-Force-Angriffe zu erraten. Ein 40-Bit-Seed bietet deutlich weniger Möglichkeiten, sodass ein Angreifer mit ausreichender Rechenleistung potenzielle Seeds offline testen und die resultierenden Adressen mit der öffentlichen Bitcoin-Blockchain vergleichen könnte.

Einige neuere Geräte haben möglicherweise etwa 72 Bit effektive Zufälligkeit geboten, da sichere Hardware eine weitere Ebene unvorhersehbarer Daten hinzufügte. Das würde die Rekonstruktion der Seeds erschweren, obwohl sie immer noch deutlich schwächer als beabsichtigt wären.

Ein Konfigurationsfehler blieb 5 Jahre lang unentdeckt

Das Problem begann mit einem Konfigurationsfehler bei der Erstellung, der zwei Softwarefunktionen betraf, die ähnliche Aufgaben ausführten. Eine Funktion nutzte den hardwarebasierten echten Zufallszahlengenerator des Geräts, während die andere auf einen schwächeren Softwareprozess zurückgriff, der von MicroPython übernommen worden war.

Coinkite beabsichtigte, die MicroPython-Option zu deaktivieren. Eine Softwareprüfung überprüfte jedoch lediglich, ob eine Konfigurationsbezeichnung definiert worden war, und nicht, ob deren Wert auf Null gesetzt worden war. Infolgedessen konnte die fertige Firmware unbemerkt die schwächere Funktion auswählen.

Da die beiden Funktionen identische Formate aufwiesen, wurde die Software weiterhin kompiliert und ausgeführt, ohne dass ein offensichtlicher Fehler auftrat. Der Fehler schlich sich im Rahmen einer Software-Migration im Jahr 2021 in den Code ein und blieb mehr als fünf Jahre lang in der öffentlich verfügbaren Firmware bestehen.

Ein Update des Geräts stärkt nun keinen Seed, der unter der fehlerhaften Software generiert wurde. Betroffene Nutzer müssen mithilfe der korrigierten Firmware oder eines anderen sicheren Geräts einen komplett neuen Seed erstellen und anschließend ihre Guthaben auf Adressen übertragen, die von diesem neuen Seed kontrolliert werden.

Nutzer, die bei der Erstellung ihres Seeds mindestens 50 unabhängige Würfelwürfe hinzugefügt haben, haben möglicherweise genügend zusätzliche Zufälligkeit bereitgestellt, um die Schwachstelle zu umgehen. Eine starke BIP-39-Passphrase hätte die Rekonstruktion ebenfalls erschweren können, während Wallets, die Signaturen von mehreren unabhängigen Geräten erfordern, möglicherweise verhindert hätten, dass ein kompromittierter Seed allein Gelder bewegen kann.

Coinkite verweist auf KI, doch Beweise fehlen weiterhin

Rodolfo Novak, CEO von Coinkite, entschuldigte sich öffentlich und erklärte, das Unternehmen übernehme die volle Verantwortung für den Firmware-Fehler. Er sagte, das Team arbeite an einer korrigierten Software, an technischen Berichten und an Supportmaßnahmen für betroffene Nutzer.

Coinkite und Novak stellten zudem eine bemerkenswerte Theorie darüber auf, wie die Schwachstelle entdeckt wurde. Da die Firmware des Unternehmens seit Jahren öffentlich zugänglich war, vermutete das Unternehmen, dass jemand möglicherweise KI eingesetzt habe, um ältere Versionen des Codes zu untersuchen und den Schwachpunkt in der Zufallsgenerierung aufzuspüren. „An alle anderen Entwickler: Wir glauben, dass dies eine ernüchternde Realität des neuen KI-Paradigmas ist. KI-gestützte Code-Reviews können nun latente Fehler mit einer Geschwindigkeit aufspüren, die selbst die erfahrensten Experten der Branche übertrifft“, schrieb Novak in seinem auf X veröffentlichten Entschuldigungsbeitrag. „Wenn Ihre Firmware Open Source ist oder jemals öffentlich zugänglich war, gehen Sie davon aus, dass sie bereits sowohl von Angreifern als auch von Verteidigern gelesen wird.“

Moderne KI-Codierungssysteme können heute große Software-Repositorys verarbeiten und verdächtige Zusammenhänge zwischen Konfigurationseinstellungen, Funktionen und Sicherheitsannahmen identifizieren. Ein Angreifer könnte ein solches System anweisen, gezielt nach schwachen Zufallszahlengeneratoren, Fallback-Funktionen oder Fehlern zu suchen, die kryptografische Schlüssel beeinträchtigen.

Unabhängige Forscher berichteten später, dass sie KI-Modelle einsetzten, um das Problem zu lokalisieren oder zu erklären, nachdem das zugrunde liegende Zufallsproblem bekannt war. Dies zeigte, wie leicht zugänglich KI-gestützte Code-Analysen mittlerweile geworden sind, bewies jedoch nicht, dass der ursprüngliche Angreifer KI eingesetzt hatte.

Coinkite räumte ein, dass die eigene Überprüfung mithilfe eines führenden KI-Modells die Schwachstelle vor dem Diebstahl nicht aufdecken konnte. Dieses Ergebnis zeigt, dass KI-Systeme nicht automatisch jeden schwerwiegenden Fehler finden. Ihre Leistung kann von den erhaltenen Anweisungen, der Menge des bereitgestellten Codes und davon abhängen, ob ein menschlicher Prüfer die Warnzeichen versteht.

Kritiker sagen, der menschliche Fehler sei zuerst gekommen

Einige Sicherheitsspezialisten argumentieren, dass eine zu starke Fokussierung auf künstliche Intelligenz (KI) die Gefahr birgt, von einem grundlegenden technischen Versagen abzulenken. Viele glauben, dass es sich bei dem Konfigurationsfehler um eine bekannte Art von Softwarefehler handelte und dass herkömmliche Code-Reviews, Testverfahren oder Audits mit Schwerpunkt auf der Seed-Generierung diesen bereits Jahre zuvor hätten aufdecken können.

Die gegensätzlichen Ansichten sind nicht unbedingt unvereinbar. Ein menschlicher Fehler hat die Schwachstelle verursacht und dafür gesorgt, dass sie bestehen blieb, während KI möglicherweise den Aufwand für das Auffinden, Verstehen oder Ausnutzen dieser Schwachstelle verringert hat. Verteidiger müssen jede gefährliche Schwachstelle identifizieren, während ein Angreifer nur eine einzige finden muss.

Der Vorfall stellt zudem Annahmen zur Open-Source-Sicherheit in Frage. Öffentlicher Code ermöglicht es unabhängigen Experten, Software zu prüfen, doch die Verfügbarkeit allein garantiert nicht, dass jemand den richtigen Abschnitt überprüft, einen subtilen Fehler erkennt und ihn meldet, bevor ein Angreifer zuschlägt.

Für Coldcard-Nutzer besteht die unmittelbare Priorität darin, festzustellen, wann und wie ihr Seed erstellt wurde. Jeder, dessen Seed betroffen ist, muss die Anweisungen über offizielle Coinkite-Kanäle überprüfen, die korrigierte Firmware installieren, einen neuen Seed erstellen und Gelder vorsichtig transferieren, wobei er auf Phishing-Versuche und gefälschte Support-Nachrichten achten muss.

Die längerfristigen Fragen werden sich darauf konzentrieren, wie viel Bitcoin entwendet wurde, ob die Ermittler den Angreifer identifizieren können und ob KI eine entscheidende Rolle bei der Aufdeckung der Schwachstelle gespielt hat. Hersteller von Hardware-Wallets werden zudem unter Druck stehen, ihre Entropietests zu verstärken, Build-Konfigurationen zu prüfen und alten Code kontinuierlich sowohl mit menschlichen Experten als auch mit adversarialen KI-Tools zu untersuchen.