Würfelwürfe sorgen dafür, dass Bitcoin-Schlüssel offline bleiben, aber nicht jeder wird sich die Mühe machen

Warum ein Würfelwurf so schwer vorherzusagen ist

Claude Shannon, der Mathematiker, der die Informationstheorie begründete, verwendete Entropie, um zu messen, wie ungewiss ein Ergebnis ist. Bei einem fairen sechsseitigen Würfel hat jede Seite die gleiche Wahrscheinlichkeit von eins zu sechs, zu erscheinen. Das ergibt bei jedem Wurf etwa 2,585 Bit Entropie. Ein Münzwurf erzeugt 1 Bit, während ein achtseitiger Würfel 3 Bit erzeugt.

Die jüngsten Turbulenzen um Coldcard haben die würfelbasierte Seed-Generierung in den sozialen Medien in den Vordergrund gerückt. Einige Nutzer betrachten sie mittlerweile als unverzichtbar, andere sagen, sie habe ihr Guthaben geschützt, während erfahrene Betreiber darauf hinweisen, dass die meisten Neulinge einen langsamen, fehleranfälligen Einrichtungsprozess nicht in Kauf nehmen werden.

Das Wesentliche ist nicht, dass sich ein rollender Würfel auf atomarer Ebene zufällig verhält. Das tut er nicht. Das Ergebnis unterliegt zwar den Gesetzen der Physik, doch ändern sich zu viele kleine Variablen gleichzeitig, als dass jemand das Ergebnis zuverlässig berechnen könnte. Der Würfel verlässt die Hand mit einer bestimmten Geschwindigkeit, einem bestimmten Winkel, einer bestimmten Höhe und einem bestimmten Drall, trifft dann auf den Tisch und ändert bei jedem Aufprall seine Richtung.

In der Praxis kann bereits eine winzige Änderung beim Abwurf zu einem völlig anderen Ergebnis führen. Eine leicht abweichende Fingerposition oder ein geringfügig kräftigerer Wurf verändert die Flugbahn so stark, dass die endgültige Zahl nicht durch Beobachtung der Bewegung vorhergesagt werden kann. Das Ergebnis mag theoretisch deterministisch sein, doch für die Wallet-Generierung kommt es darauf an, dass ein Angreifer es weder reproduzieren noch berechnen kann.

Würfelwürfe in verwertbare Daten umwandeln

Ein Computer kann eine Liste von Würfelergebnissen nicht direkt verwenden. Die Würfe müssen zunächst in binäre Daten umgewandelt werden, und die Umwandlungsmethode ist entscheidend. Eine einfache Methode, bei der zwischen „gerade“ und „ungerade“ unterschieden wird, ist leicht zu verstehen, verschwendet jedoch einen Großteil der verfügbaren Entropie. Jeder Wurf wird auf ein einziges Bit reduziert, obwohl der Würfel etwa 2,6 Bit an Information liefert. Effizientere Methoden sammeln eine lange Folge von Würfen und verarbeiten die gesamte Zeichenfolge, in der Regel mithilfe einer kryptografischen Hash-Funktion. Dadurch bleibt weitaus mehr von der Zufälligkeit erhalten.

Das gleiche Prinzip findet sich bei Diceware, einer seit langem etablierten Methode zur Erstellung sicherer Passphrasen, sowie bei der manuellen Generierung von Bitcoin-Wallets. Eine typische 12-Wort-Wiederherstellungsphrase für ein Wallet basiert auf 128 Bit Entropie. Bei etwa 2,6 Bit pro Würfelwurf liefern etwa 50 faire Würfe genügend Rohdaten, um diese Schwelle zu überschreiten.

Coinkite, der Hersteller der Coldcard-Hardware-Wallet, empfiehlt 99 oder mehr Würfelwürfe für Nutzer, die eine Entropie von nahezu 256 Bit anstreben. Das macht die Nutzung der Wallet nicht doppelt so aufwendig, verschafft dem generierten Geheimnis jedoch eine wesentlich größere mathematische Sicherheitsreserve.

Ein Praxistest mit durch Würfel generierten Seeds

Diese Unterscheidung gewann an Bedeutung, nachdem Coinkite ein Firmware-Problem aus dem Jahr 2021 offengelegt hatte. Auf einigen Coldcard-Geräten konnte die Software den internen Hardware-Zufallszahlengenerator umgehen und stattdessen einen schwächeren Prozess nutzen, der mit nicht geheimen Geräteinformationen verbunden war.

Da Teile dieses Verfahrens rekonstruiert werden konnten, waren Angreifer in der Lage, mögliche Wallet-Schlüssel einzugrenzen, anstatt den gesamten Schlüsselraum zu durchsuchen. Die Schwachstelle stand im Zusammenhang mit dem Diebstahl von schätzungsweise 1.128,6633 BTC von etwa 1.100 Adressen (Stand: 13:00 Uhr Eastern Time).

Wallet-Seeds, die vollständig aus einer ausreichenden Anzahl unabhängiger Würfelwürfe generiert wurden, waren über denselben Weg nicht gefährdet. Diese Nutzer hatten ihre eigene Entropie bereitgestellt, sodass der fehlerhafte Hardware-Generator nicht für die Erstellung des primären Wallet-Geheimnisses verantwortlich war.

Dieser Schutz galt jedoch nur für den aus den Würfeln erzeugten Seed. Er schützte nicht automatisch jedes andere vom Gerät generierte Geheimnis.

Wizard Sardine untersucht das Kleingedruckte

Der Sicherheitsforscher Kevin Loaec veröffentlichte am 1. August auf der Website von Wizard Sardine eine Analyse des Coldcard-Exploits. Seine wichtigste Beobachtung betraf die Coldcard-Funktionen, die ihre eigenen Geheimnisse getrennt vom primären Wallet-Seed generierten.

„Ich halte es für äußerst wichtig zu betonen, dass selbst Nutzer, die einen Seed mit Würfeln importiert oder generiert haben, angreifbar sind, wenn sie die folgenden Funktionen nutzen“, schrieb Loaec auf X, bevor er ein Diagramm des betroffenen Systems präsentierte.

Das Diagramm zeigt, wie der fehlerhafte Zufallszahlengenerator mehrere sekundäre Coldcard-Funktionen versorgt. Dazu gehörten die Erstellung von Papier-Wallets, das Klonen von Geräten, die USB-Sitzungsverschlüsselung, die „Secret Teleport“-Übertragungsfunktion, die Erstellung von Co-Signing-Schlüsseln, der integrierte Passwortgenerator und die Authentifizierungscodes des Hardware-Sicherheitsmoduls.

Eine mit 99 Würfelwürfen erstellte Primär-Wallet verblieb in einem separaten Teil des Systems. Das Problem bestand darin, dass die anderen Tools weiterhin neue Zufallswerte vom fehlerhaften Generator anfordern konnten. Infolgedessen garantierte ein sicherer Startwert nicht, dass jedes Passwort, jedes Backup, jeder Authentifizierungscode oder jeder Sekundärschlüssel, der auf demselben Gerät erstellt wurde, gleichermaßen sicher war.

Warum die meisten neuen Nutzer keine Würfel werfen werden

Durch Würfel erzeugte Entropie ist technisch einwandfrei, wenn sie korrekt durchgeführt wird, stellt jedoch für die meisten neuen Nutzer keine realistische Standardvorgehensweise dar. 50 oder 99 Mal zu würfeln, jedes Ergebnis genau einzugeben und sicherzustellen, dass kein Wurf übersprungen oder doppelt gezählt wurde, erfordert Geduld und viel Konzentration. Eine falsch eingegebene Zahl kann die endgültige Wallet komplett verändern, und die meisten Geräte können nicht erkennen, ob der Fehler auf einen fehlerhaften Würfelwurf, einen Eingabefehler oder ein Missverständnis der Anleitung zurückzuführen ist.

Der Vorgang birgt zudem Risiken, die bei einem ordnungsgemäß funktionierenden Hardware-Generator nicht bestehen. Nutzer können die Würfelergebnisse auf Papier notieren, fotografieren, in ein Online-Tool eingeben oder die Liste an einem Ort hinterlassen, an dem eine andere Person sie finden kann. Manche Menschen würfeln auf repetitive oder kontrollierte Weise, verwenden einen manipulierten oder beschädigten Würfel oder brechen vorzeitig ab, weil ihnen der Vorgang zu aufwendig erscheint. Die Mathematik mag solide sein, doch das Ergebnis ist nur so sicher wie die Vorgehensweise des Nutzers.

Deshalb wird das Würfeln von vielen Menschen, selbst unter erfahrenen Bitcoin-Nutzern, nicht immer als die beste Methode angesehen. Es ersetzt das Vertrauen in ein Gerät durch das Vertrauen in einen manuellen Vorgang. Für einen technisch versierten Nutzer, der Entropie versteht, die Methode überprüft und die Würfelsequenz geheim hält, mag dieser Kompromiss sinnvoll sein. Für einen durchschnittlichen Käufer, der zum ersten Mal eine Wallet einrichtet, erhöht dies die Gefahr, einen irreparablen Fehler zu begehen, und ist gleichzeitig ein lästiger Vorgang.

Es ist zudem schwer vorstellbar, dass sich Bitcoin auf breiter Basis durchsetzen kann, wenn die Nutzer erst an einem Tisch sitzen und 99 Würfelergebnisse notieren müssen, bevor sie Gelder sicher empfangen können. Sicherheitsmaßnahmen müssen den Alltag zu Hause, volle Terminkalender, Ablenkungen und Nutzer überstehen, die sich nicht mit Kryptografie auseinandersetzen wollen. Manuelle Entropie sollte als Option für Fortgeschrittene weiterhin verfügbar bleiben, doch das langfristige Ziel sind Hardware und Software, die starke Zufallszahlen korrekt generieren, klar erklären, was geschieht, und so wenig Fachwissen wie möglich erfordern.

Was Coldcard-Besitzer überprüfen sollten

Besitzer betroffener Coldcard-Geräte sollten zunächst die auf dem Gerät installierte Firmware-Version überprüfen. Anschließend sollten sie prüfen, welche Funktionen sie unter der älteren Firmware genutzt haben, anstatt sich nur darauf zu konzentrieren, wie der Haupt-Wallet-Seed generiert wurde.

Wer das betroffene Gerät zur Erstellung einer Paper-Wallet, eines Klon-Geheimnisses, eines Passworts, eines Mitunterzeichnungsschlüssels oder eines Authentifizierungscodes verwendet hat, muss dieses Material möglicherweise sofort ersetzen. Die Installation des Updates verhindert, dass das gleiche Problem neue Geheimnisse betrifft, behebt jedoch keine zuvor erstellten Daten.

Der Vorfall spricht zudem noch stärker für die praktische Umsetzung von Wallet-Konfigurationen mit Geräten verschiedener Hersteller. Bei einer Multi-Signatur-Konfiguration können separate Hardwaregeräte verschiedener Hersteller erforderlich sein, um eine Transaktion zu genehmigen. Diese Struktur macht Firmware-Fehler zwar nicht unmöglich, kann aber verhindern, dass ein einzelner defekter Zufallszahlengenerator die gesamte Wallet im Alleingang gefährdet.