Bitcoin-Diebstähle durch Coldcard-Hack: Ein Softwarefehler macht Hardware-Wallets angreifbar

Eigentlich sollten die Bitcoin besonders sicher verwahrt sein. Die Besitzer hatten ihre privaten Schlüssel nicht auf einem Smartphone oder einem ständig mit dem Internet verbundenen Rechner gespeichert, sondern auf einer sogenannten Coldcard. Das Hardware-Wallet des kanadischen Herstellers Coinkite kann Transaktionen weitgehend offline signieren und wird gerade deshalb von vielen Nutzern als besonders sichere Möglichkeit zur Selbstverwahrung angesehen. Doch der Schutz durch die Trennung vom Internet half in diesem Fall nicht. Ein Fehler in der Firmware hatte dazu geführt, dass bestimmte Coldcard-Geräte die geheimen Ausgangswerte ihrer Wallets nicht mit der vorgesehenen Zufälligkeit erzeugten. Angreifer konnten daraus offenbar die Seed-Phrases und damit die privaten Schlüssel betroffener Wallets rekonstruieren – ohne die Geräte zu stehlen, deren PIN zu kennen oder Schadsoftware auf ihnen zu installieren.

Nach der jüngsten Auswertung von Galaxy Research sollen mindestens 1.596 Bitcoin aus etwa 7.300 Adressen abgezogen worden sein. Ihr Wert lag zum Zeitpunkt der Auswertung bei mehr als 100 Millionen US-Dollar. Darüber hinaus untersuchen die Analysten eine weitere Angriffswelle, die den Gesamtverlust auf bis zu 2.055 Bitcoin beziehungsweise rund 130 Millionen Dollar erhöhen könnte. Dabei ist allerdings zu beachten, dass Blockchain-Adressen nicht mit Wallets oder einzelnen Geschädigten gleichzusetzen sind, denn eine Wallet kann zahlreiche Adressen verwenden.

Der Fehler lag vor dem eigentlichen Tresor

Der Coldcard-Fall ist aber explizit kein erfolgreicher Angriff auf die Kryptografie von Bitcoin selbst, auch die Blockchain wurde nicht manipuliert. Der Fehler lag einen Schritt davor – bei der Erzeugung des geheimen Ausgangswerts, aus dem ein Wallet seine privaten Schlüssel ableitet. Ein Hardware-Wallet enthält schließlich keine Bitcoin im wörtlichen Sinne.

Die Kryptowährung existiert weiterhin als Eintrag in der Blockchain. Das Gerät schützt vielmehr die privaten Schlüssel, mit denen eine Transaktion signiert und damit über die zugehörigen Bitcoin verfügt werden kann.“

Ausgangspunkt dieser Schlüssel ist üblicherweise ein sogenannter Seed, der Nutzer meist als Folge von zwölf oder 24 Wörtern angezeigt wird. Aus ihm lassen sich sämtliche Schlüssel und Adressen des Wallets wiederherstellen. Wer den Seed kennt, kann deshalb auch ohne das ursprüngliche Gerät auf das Guthaben zugreifen. Damit das nicht durch systematisches Ausprobieren möglich ist, muss der Seed aus ausreichend vielen unvorhersagbaren Zufallswerten erzeugt werden. In der Kryptografie wird diese Unsicherheit als Entropie bezeichnet. Ein formal langer Zahlenwert bietet keinen ausreichenden Schutz, wenn er in Wirklichkeit nur aus einer kleinen Anzahl möglicher Ausgangswerte stammen kann.

Sicherheitsexperten führen den aktuellen Fehler auf das Zusammenspiel mehrerer Softwarekomponenten zurück. Eigentlich sollte Coldcard für die Schlüsselgenerierung einen Hardware-Zufallszahlengenerator des verwendeten Mikrocontrollers einsetzen. Aufgrund einer fehlerhaften Abfrage griff die Firmware jedoch auf den deterministischen Softwaregenerator Yasmarang aus MicroPython zurück. Der entscheidende Fehler wirkt auf den ersten Blick unspektakulär: Eine Softwarebibliothek prüfte lediglich, ob eine bestimmte Konstante für den Hardware-Zufallszahlengenerator definiert war. Sie prüfte jedoch nicht, ob deren Wert tatsächlich auf „aktiviert“ stand. Da die Konstante vorhanden, aber auf null gesetzt war, ließ sich die Firmware problemlos kompilieren – verwendete anschließend jedoch den falschen Zufallszahlengenerator.

Besonders schwerwiegend war der Fehler offenbar bei den Modellen Mk2 und Mk3 mit bestimmten Firmwareversionen. Dort floss nach der Analyse von Block keine zusätzliche kryptografisch sichere Zufallsquelle in den betroffenen Prozess ein. Bei Mk4, Mk5 und dem Modell Q wurde zwar Material aus sogenannten Secure Elements ergänzt. Durch die Implementierung blieben davon jedoch nur 32 Bit für die erneute Initialisierung des Softwaregenerators übrig. Coinkite bewertet die gesamte effektive Entropie dieser neueren Geräte mit ungefähr 72 statt der erwarteten 128 Bit.

Ein Angreifer braucht das Gerät nicht

Damit verschiebt sich die Aufgabe für den Angreifer grundlegend. Er muss weder das mathematische Verfahren hinter Bitcoin brechen noch private Schlüssel aus öffentlichen Schlüsseln zurückberechnen. Stattdessen kann er den fehlerhaften Erzeugungsprozess nachbilden und mögliche Ausgangswerte systematisch durchprobieren. Aus jedem Kandidaten lassen sich die zugehörigen öffentlichen Schlüssel und Bitcoin-Adressen berechnen. Da die Blockchain öffentlich ist, kann der Angreifer prüfen, ob eine dieser Adressen Guthaben enthält. Bei einem Treffer besitzt er zugleich das Material, aus dem sich der private Schlüssel ableiten lässt.

Für das Bitcoin-Netzwerk sieht die anschließend erzeugte Übertragung nicht wie ein Diebstahl aus. Die Transaktion ist mit dem richtigen Schlüssel signiert und damit kryptografisch gültig. Es gibt keine zentrale Stelle, die prüfen könnte, ob tatsächlich die ursprüngliche Besitzerin oder ein Angreifer unterschrieben hat. “

Ebenso fehlen Rückbuchungen und Sperrmechanismen, wie sie aus dem klassischen Zahlungsverkehr bekannt sind. Der Vorfall widerlegt deshalb nicht das Prinzip der Offline-Verwahrung. Er zeigt vielmehr dessen Grenze: Ein Air-Gap schützt einen korrekt erzeugten Schlüssel davor, über eine Netzwerkverbindung ausgelesen zu werden. Er schützt jedoch nicht vor einem Schlüssel, der bereits bei seiner Erzeugung vorhersagbar war.

Coinkite hat inzwischen korrigierte Firmwareversionen für die betroffenen Modelle veröffentlicht. Bei Mk2 und Mk3 gilt Version 4.2.0 oder neuer als korrigiert, bei Mk4 und Mk5 die Standardversion 5.6.0, beim Modell Q Version 1.5.0Q. Für die getrennten Edge-Firmwarezweige gelten eigene Versionsstände. Ein Firmwareupdate löst das Problem für bestehende Wallets allerdings nicht. Ein bereits mit der fehlerhaften Software erzeugter Seed bleibt dauerhaft schwach, auch wenn er anschließend in ein anderes Hardware-Wallet importiert wird. Der Fehler steckt nicht mehr im Gerät, sondern im bestehenden Schlüsselmaterial. Betroffene Nutzer müssen deshalb mit einer korrigierten Firmware einen vollständig neuen Seed erzeugen und die Bitcoin auf Adressen des neuen Wallets übertragen. Coinkite warnt ausdrücklich davor, lediglich die Software zu aktualisieren und das bestehende Wallet weiterzuverwenden.

Schlüsselmanagement bleibt das größte Schadensrisiko

Für private wie gewerbliche Kryptoverwahrer und Anbieter institutioneller Wallet-Infrastrukturen ist Coldcard zunächst ein Vorfall aus dem Bereich der Selbstverwahrung. Die grundsätzlichen Fragen unterscheiden sich jedoch kaum von denen professioneller Schlüsselmanagementsysteme. Die Sicherheit eines Wallets beginnt nicht mit der Aufbewahrung des privaten Schlüssels, sondern mit dessen Erzeugung. Hardware Security Modules, Secure Elements und Air-Gaps können nur schützen, was zuvor mit ausreichender Entropie erzeugt wurde. Zum Kontrollrahmen müssen daher auch die Initialisierungsverfahren und Schnittstellen zwischen einzelnen Softwarebibliotheken gehören. Halten wir also fest, dass sicherheitskritische Probleme nicht immer in den aufwendigsten kryptografischen Algorithmen liegen. Hier entstand die Schwachstelle an einer vergleichsweise unscheinbaren Schnittstelle zwischen einer Bibliothek und der Gerätekonfiguration. Einzelne Komponenten konnten für sich genommen korrekt funktionieren – ihre Kombination tat es nicht.

Code-Audits sollten deshalb nicht nur kryptografische Funktionen isoliert untersuchen, denn auch vollständige Datenflüsse sind wichtig. Mit dem Vorfall sind die Nutzer aber nicht alleine, denn laut TRM Labs gab es im ersten Halbjahr 2026 insgesamt 207 Krypto-Hacks – so viele wie nie zuvor in einem Halbjahr.“

Die Schadenssumme lag mit 972 Millionen Dollar zwar unter dem Vorjahresniveau. Infrastruktur- und operative Kompromittierungen machten jedoch nur rund 15 Prozent der Vorfälle aus, waren zugleich aber für etwa 76 Prozent der Verluste verantwortlich. TRM nennt deshalb gerade Schlüsselmanagement, Signaturinfrastrukturen, Freigabeverfahren und Verwahrung als Bereiche, in denen Unternehmen ihre Schutzmaßnahmen verstärken sollten. Eine einzelne Schwachstelle kann dort unmittelbar den Zugriff auf große Vermögenswerte ermöglichen.

Verstehen sollten Banken und Kryptoverwahrer aber noch etwas anderes: Künstliche Intelligenz wird die Sicherungsmodelle in Zukunft immer mehr und immer wieder auf die Probe stellen – und so manche Lücke, die heute noch nicht bekannt ist, dürfte in Zukunft zum Einfallstor werden. Auch wenn man viel Geld in Hardware Security Modules, abgeschottete Signatursysteme und mehrstufige Freigabeverfahren investiert, zeigt der Coldcard-Hack, dass die entscheidende Sicherheitslücke noch vor der geschützten Aufbewahrung eines Schlüssels entstehen kann – nämlich in dem Moment, in dem er erzeugt wird.

Der Coldcard-Hack zeigt dabei die besondere Härte kryptografischer Selbstverwahrung. Sie beseitigt das Gegenparteirisiko einer Börse oder eines Verwahrers, überträgt dafür aber die gesamte Verantwortung auf Technik, Prozesse und Nutzer. Geht der Schlüssel verloren, gibt es keinen Wiederherstellungsprozess. Wird er kopiert oder rekonstruiert, gibt es keine Rückbuchung. Und war bereits seine Erzeugung fehlerhaft, kann selbst ein Gerät, das niemals mit dem Internet verbunden war, keinen Schutz mehr bieten. Die entscheidende Lehre lautet deshalb nicht, dass Cold Wallets grundsätzlich unsicher wären. Sie lautet vielmehr: Offline ist eine Eigenschaft der Aufbewahrung – kein Beweis für die Qualität des gesamten Sicherheitsprozesses.tw

 
Sie finden diesen Artikel im Internet auf der Website:
https://itfm.link/248742

• teilen 
• teilen 
• teilen 
• teilen 
• teilen 
• RSS-feed 
• E-Mail 
• drucken