$BTC Bericht über eine Coldcard-Firmware-Schwachstelle, die Berichten zufolge mit einem Diebstahl von fast 89 Millionen US-Dollar in $BTC in Verbindung steht
Laut Galaxy Research hat eine Firmware-Schwachstelle, die bestimmte Coldcard-Hardware-Wallets betrifft, Berichten zufolge zum Diebstahl von 1.367 $BTC im Wert von rund 89 Millionen US-Dollar von 4.585 Wallet-Adressen geführt, Stand vom 2. August.
Der Bericht besagt, dass in einem einzigen Angriff, der am 30. Juli nur 41 Minuten dauerte, 1.082 $BTC gestohlen wurden.
Was hat das Problem verursacht?
Die gemeldete Schwachstelle geht auf eine Firmware-Version zurück, die im März 2021 eingeführt wurde.
Statt Wiederherstellungs-Seeds ausschließlich über einen hardwarebasierten Zufallszahlengenerator (Hardware RNG) zu erzeugen, sollen einige betroffene Firmware-Versionen Berichten zufolge auf einen softwarebasierten Zufallszahlengenerator mit teilweise vorhersagbaren Eingaben gesetzt haben, darunter:
* Chip-Seriennummern.
* Systemuhrzeit-Werte.
Dadurch wurde die Anzahl der möglichen Seed-Kombinationen erheblich reduziert, sodass Angreifer ohne physischen Zugriff auf das Gerät Offline-Seed-Brute-Force-Angriffe durchführen konnten.
Empfohlene Maßnahmen
Nutzer, die seit März 2021 mit einer betroffenen Coldcard-Firmware eine Wallet erstellt haben, werden dazu aufgefordert:
* Erzeuge einen neuen Wiederherstellungs-Seed mit einem sicheren, gepatchten Gerät.
* Übertrage alle $BTC und andere Vermögenswerte auf die neu erstellte Wallet.
* Verlasse dich nicht allein auf ein Firmware-Update, da ein Update die bestehende, möglicherweise kompromittierte Seed nicht wieder sicher macht.
Coinkite, der Hersteller von Coldcard, hat das Problem anerkannt, und CEO Rodolfo Novak hat die Verantwortung für die Schwachstelle öffentlich übernommen.
Dieser Vorfall dient als Erinnerung daran, dass die Sicherheit einer Hardware-Wallet nicht nur vom physischen Gerät abhängt, sondern auch von der Integrität der Firmware und des Seed-Erzeugungsprozesses.
Haftungsausschluss: Dieser Inhalt dient ausschließlich Informations- und Ausbildungszwecken und stellt keine finanziellen, sicherheitsbezogenen oder Anlageberatungen dar. Nutzer sollten sich vor der Durchführung von Maßnahmen an die offiziellen Hinweise des Wallet-Herstellers halten.
Laut Galaxy Research hat eine Firmware-Schwachstelle, die bestimmte Coldcard-Hardware-Wallets betrifft, Berichten zufolge zum Diebstahl von 1.367 $BTC im Wert von rund 89 Millionen US-Dollar von 4.585 Wallet-Adressen geführt, Stand vom 2. August.
Der Bericht besagt, dass in einem einzigen Angriff, der am 30. Juli nur 41 Minuten dauerte, 1.082 $BTC gestohlen wurden.
Was hat das Problem verursacht?
Die gemeldete Schwachstelle geht auf eine Firmware-Version zurück, die im März 2021 eingeführt wurde.
Statt Wiederherstellungs-Seeds ausschließlich über einen hardwarebasierten Zufallszahlengenerator (Hardware RNG) zu erzeugen, sollen einige betroffene Firmware-Versionen Berichten zufolge auf einen softwarebasierten Zufallszahlengenerator mit teilweise vorhersagbaren Eingaben gesetzt haben, darunter:
* Chip-Seriennummern.
* Systemuhrzeit-Werte.
Dadurch wurde die Anzahl der möglichen Seed-Kombinationen erheblich reduziert, sodass Angreifer ohne physischen Zugriff auf das Gerät Offline-Seed-Brute-Force-Angriffe durchführen konnten.
Empfohlene Maßnahmen
Nutzer, die seit März 2021 mit einer betroffenen Coldcard-Firmware eine Wallet erstellt haben, werden dazu aufgefordert:
* Erzeuge einen neuen Wiederherstellungs-Seed mit einem sicheren, gepatchten Gerät.
* Übertrage alle $BTC und andere Vermögenswerte auf die neu erstellte Wallet.
* Verlasse dich nicht allein auf ein Firmware-Update, da ein Update die bestehende, möglicherweise kompromittierte Seed nicht wieder sicher macht.
Coinkite, der Hersteller von Coldcard, hat das Problem anerkannt, und CEO Rodolfo Novak hat die Verantwortung für die Schwachstelle öffentlich übernommen.
Dieser Vorfall dient als Erinnerung daran, dass die Sicherheit einer Hardware-Wallet nicht nur vom physischen Gerät abhängt, sondern auch von der Integrität der Firmware und des Seed-Erzeugungsprozesses.
Haftungsausschluss: Dieser Inhalt dient ausschließlich Informations- und Ausbildungszwecken und stellt keine finanziellen, sicherheitsbezogenen oder Anlageberatungen dar. Nutzer sollten sich vor der Durchführung von Maßnahmen an die offiziellen Hinweise des Wallet-Herstellers halten.