Coldcard-Firmware-Schwachstelle Berichten zufolge mit fast 89 Millionen US-Dollar an gestohlenen $BTC in Verbindung gebracht
Laut Galaxy Research hat eine Firmware-Schwachstelle, die angeblich bestimmte Coldcard-Hardware-Wallets betrifft, Berichten zufolge zum Diebstahl von 1.367 $BTC im Wert von ungefähr 89 Millionen US-Dollar geführt – von 4.585 Wallet-Adressen, Stand 2. August.
Der Bericht besagt, dass 1.082 $BTC in einem einzelnen Angriff gestohlen wurden, der am 30. Juli nur 41 Minuten dauerte.
Was hat das Problem verursacht?
Die gemeldete Schwachstelle geht auf eine Firmware-Version zurück, die im März 2021 eingeführt wurde.
Anstatt Wiederherstellungs-Seed ausschließlich über einen Hardware-Zufallszahlengenerator (Hardware RNG) zu erzeugen, sollen einige betroffene Firmware-Versionen Berichten zufolge auf einen softwarebasierten Zufallszahlengenerator mit teilweise vorhersagbaren Eingaben gesetzt haben, darunter:
* Chip-Seriennummern.
* Systemuhrwerte.
Dadurch wurde die Anzahl der möglichen Seed-Kombinationen erheblich reduziert, sodass es für Angreifer möglich wurde, Offline-Seed-Brute-Force-Angriffe ohne physischen Zugriff auf das Gerät durchzuführen.
Empfohlene Maßnahmen
Nutzer, die seit März 2021 mit einer betroffenen Coldcard-Firmware eine Wallet erzeugt haben, wird geraten:
* Erzeugen Sie einen neuen Wiederherstellungs-Seed mit einem sicheren und gepatchten Gerät.
* Übertragen Sie alle $BTC sowie alle anderen Vermögenswerte auf die neu erstellte Wallet.
* Verlassen Sie sich nicht ausschließlich auf ein Firmware-Update, da ein Update die bereits kompromittierte Seed nicht wieder sicher macht.
Coinkite, der Hersteller von Coldcard, hat das Problem anerkannt, und CEO Rodolfo Novak hat die Verantwortung für die Schwachstelle öffentlich übernommen.
Dieser Vorfall dient als Erinnerung daran, dass die Sicherheit einer Hardware-Wallet nicht nur vom physischen Gerät abhängt, sondern auch von der Integrität der Firmware und des Seed-Erzeugungsprozesses.
Haftungsausschluss: Dieser Inhalt dient nur zu Informations- und Bildungszwecken und stellt keine finanzielle, sicherheits- oder investmentbezogene Beratung dar. Nutzer sollten vor dem Handeln auf die offiziellen Hinweise des Wallet-Herstellers zurückgreifen.
Laut Galaxy Research hat eine Firmware-Schwachstelle, die angeblich bestimmte Coldcard-Hardware-Wallets betrifft, Berichten zufolge zum Diebstahl von 1.367 $BTC im Wert von ungefähr 89 Millionen US-Dollar geführt – von 4.585 Wallet-Adressen, Stand 2. August.
Der Bericht besagt, dass 1.082 $BTC in einem einzelnen Angriff gestohlen wurden, der am 30. Juli nur 41 Minuten dauerte.
Was hat das Problem verursacht?
Die gemeldete Schwachstelle geht auf eine Firmware-Version zurück, die im März 2021 eingeführt wurde.
Anstatt Wiederherstellungs-Seed ausschließlich über einen Hardware-Zufallszahlengenerator (Hardware RNG) zu erzeugen, sollen einige betroffene Firmware-Versionen Berichten zufolge auf einen softwarebasierten Zufallszahlengenerator mit teilweise vorhersagbaren Eingaben gesetzt haben, darunter:
* Chip-Seriennummern.
* Systemuhrwerte.
Dadurch wurde die Anzahl der möglichen Seed-Kombinationen erheblich reduziert, sodass es für Angreifer möglich wurde, Offline-Seed-Brute-Force-Angriffe ohne physischen Zugriff auf das Gerät durchzuführen.
Empfohlene Maßnahmen
Nutzer, die seit März 2021 mit einer betroffenen Coldcard-Firmware eine Wallet erzeugt haben, wird geraten:
* Erzeugen Sie einen neuen Wiederherstellungs-Seed mit einem sicheren und gepatchten Gerät.
* Übertragen Sie alle $BTC sowie alle anderen Vermögenswerte auf die neu erstellte Wallet.
* Verlassen Sie sich nicht ausschließlich auf ein Firmware-Update, da ein Update die bereits kompromittierte Seed nicht wieder sicher macht.
Coinkite, der Hersteller von Coldcard, hat das Problem anerkannt, und CEO Rodolfo Novak hat die Verantwortung für die Schwachstelle öffentlich übernommen.
Dieser Vorfall dient als Erinnerung daran, dass die Sicherheit einer Hardware-Wallet nicht nur vom physischen Gerät abhängt, sondern auch von der Integrität der Firmware und des Seed-Erzeugungsprozesses.
Haftungsausschluss: Dieser Inhalt dient nur zu Informations- und Bildungszwecken und stellt keine finanzielle, sicherheits- oder investmentbezogene Beratung dar. Nutzer sollten vor dem Handeln auf die offiziellen Hinweise des Wallet-Herstellers zurückgreifen.
