Acht Jahre Bitcoin-Sparschwein in einer Viertelstunde verloren. Ein Fehler des Hardware-Herstellers kostete bereits 1367 BTC

Ein Nutzer des Subreddits r/Bitcoin auf der Social-Media-Plattform Reddit mit dem Pseudonym DuckDuckMoss teilte seine Geschichte mit der Community. Er berichtet, dass er durch einen Fehler in der Software seiner Hardware-Wallet seine über acht Jahre angesparteten 2 BTC verloren hat. Sein Beitrag ist einer von Hunderten ähnlicher Berichte, die nach dem 30. Juli im Internet auftauchten, als ein unbekannter Täter begann, Wallets zu leeren, die auf Coldcard-Geräten eingerichtet waren. Laut Berechnungen von Galaxy Research sind bisher 1367 BTC von den Konten der Opfer verschwunden, was etwa 88,6 Millionen Dollar entspricht.

Wichtigste Fakten

• Ursache ist ein Integrationsfehler in der Coldcard-Software, der seit März 2021 die Generierung von Seed-Phrasen an einen softwarebasierten, vorhersagbaren Pseudo-Zufallszahlengenerator übergab.
• Anstelle der vorgesehenen 128 Bit Entropie hatten die Seeds des Modells Mk3 etwa 40 Bit, und die von Mk4, Mk5 und Q etwa 72 Bit.
• Drei Angriffswellen betrafen 4585 Adressen. Die Beute beträgt 1367 BTC und wurde bisher nicht angefasst.
• Coinkite hat Notfallsoftware für alle Modelle veröffentlicht, aber das Update behebt nicht den zuvor generierten Seed.
• Der Streit darüber, ob ein individueller Investor seine privaten Schlüssel selbst verwalten sollte, ist wieder aufgeflammt.

Eine Codezeile aus März 2021 als Quelle der Krise

Coldcard ist eine Hardware-Wallet des kanadischen Unternehmens Coinkite, die ausschließlich Bitcoin unterstützt und über Jahre als das Gerät für die anspruchsvollsten Nutzer galt. Ihre Software basiert auf einem modifizierten MicroPython. In der Konfiguration der Platine hat der Hersteller absichtlich die integrierte Unterstützung für den Hardware-Generator deaktiviert, da er eine eigene Implementierung hatte. Das Problem ist, dass die Bibliothek libngu nur überprüfte, ob das entsprechende Flag überhaupt existiert, nicht aber, welchen Wert es hat. Die Kompilierung verlief ohne Warnung, und die Funktion zur Zufallszahlengenerierung landete im softwarebasierten Backup-Pfad, der von MicroPython geerbt wurde.

Dieser Backup-Generator wird einmal bei der ersten Aufrufinitialisierung basierend auf der Seriennummer des Chips und dem Zustand der Uhren initialisiert. Keiner dieser Werte ist kryptografisches Geheimnis. Die Seriennummer ist konstant und teilweise sogar im USB-Identifikator des Geräts sichtbar, und die Zeitregister können auf eine kleine Anzahl von Möglichkeiten eingegrenzt werden. Eine detaillierte Rekonstruktion wurde vom Sicherheitsteam von Block in einem technischen Bericht über den Notfallgenerator in der Coldcard-Firmware veröffentlicht.

Die Änderung wurde am 1. März 2021 in das Repository aufgenommen und fand am 17. März mit der Version 4.0.0 ihren Weg in die veröffentlichte Software. Alle geleerten Adressen wurden nach diesem Datum erstellt. Der Angreifer musste kein Gerät berühren. Es genügte, mögliche Zufallsströme bei sich zu reproduzieren, Adressen daraus abzuleiten und sie mit der öffentlichen Blockchain zu vergleichen.

Drei Wellen und 4585 Adressen

Die erste Durchsuchung der Wallets dauerte vom 30. Juli von 3:10 bis 3:51 Uhr polnischer Zeit und erstreckte sich über neun Blöcke. Chainalysis schätzte, dass in den ersten zehn Minuten über 30 Millionen Dollar verschwanden, wobei das größte Einzelopfer etwa 1,8 Millionen Dollar verlor. Erste Schätzungen sprachen von 594 BTC aus fast 500 Wallets. Weitere Analysen von Galaxy Research erhöhten diese Zahl auf 1082, dann auf 1158, bis am 1. August die dritte Welle entdeckt wurde, bei der aus 1912 Adressen weitere 207,73 BTC abgezogen wurden. Diesmal griff der Täter auf Salden im Bereich von mehreren tausend Dollar zu, also begnügte er sich mit „Kleingeld".

Die gestohlenen Mittel liegen unberührt auf den Adressen des Angreifers. Analysten weisen darauf hin, dass alle Transaktionen denselben Gebührensatz hatten und kein Wechselgeld generierten, was es ermöglicht, sie zu gruppieren, aber an sich nichts beweist. Eine Sammelüberweisung sieht identisch aus, unabhängig davon, ob die Münzen vom Dieb oder vom Eigentümer übertragen werden.

Die Firma Coinkite veröffentlichte am 30. Juli eine entsprechende Warnung und einen Tag später ein aktualisiertes Software-Update für alle Modelle und beide Veröffentlichungswege. Der Hersteller weist jedoch in einer offiziellen Sicherheitsmitteilung darauf hin, dass das Update nur neue Seeds schützt und bestehende nicht repariert. Sicher sind diejenigen, die beim Einrichten ihrer Wallet mindestens 50 ehrliche, nicht gespeicherte Würfe hinzugefügt haben. Ein starkes, einzigartiges BIP-39-Passwort erstellt eine separate Wallet und erschwert die Situation erheblich, aber der Hersteller empfiehlt dennoch eine Migration. Multisig schützt nur, wenn das Quorum nicht ausschließlich aus anfälligen Geräten besteht. Die Karten TAPSIGNER, OPENDIME und SATSCARD arbeiten mit einem anderen Code und sind von dem Problem nicht betroffen.

Sollte der durchschnittliche Investor seinen eigenen Schlüssel im Auge behalten?

Rodolfo Novak, der Chef von Coinkite, entschuldigte sich bei den Nutzern und übernahm die Verantwortung für den Fehler, indem er zugab, dass interne Code-Überprüfungen ihn nicht entdeckt hatten. Er deutete an, dass die Lücke möglicherweise von einer künstlichen Intelligenz entdeckt wurde, die durch ältere Versionen der offenen Firmware geleitet wurde. Einige Wochen zuvor hatte das Unternehmen denselben Code durch eines der besten verfügbaren Modelle geleitet und erhielt kein Warnsignal. Einige Forscher sind jedoch der Meinung, dass das Thema KI von einem banalen Ingenieurfehler ablenkt, den eine gewöhnliche Überprüfung der Schlüsselgenerierung vor Jahren hätte aufdecken müssen.

Die Reaktionen aus der Branche sind scharf. Kommentator Guy Swann nannte es den schmerzhaftesten Schlag in der Geschichte von Bitcoin gegen Menschen, die sich korrekt abgesichert hatten, denn diesmal geht es nicht um eine Börse mit Hot Keys, sondern um Tausende von privaten Wallets. Lorenzo Valente von ARK Invest stellte direkt fest, dass Kunden das Risiko des Gegenparts gegen das Risiko von Software, Hardware, Lieferkette und eigenen Fehlern eingetauscht haben. Nick Neuman von Casa kritisiert die Empfehlung des Herstellers, da das Hinzufügen von fünfzig Würfen für die überwiegende Mehrheit der Nutzer nicht in Frage kommt. David Lawrence von Amicus fügt hinzu, dass nach solchen Vorfällen neue Investoren ETFs und regulierte Treuhänder wählen werden.

Genau zu diesem Schluss kam der Autor eines Reddit-Beitrags, der bedauert, dass er keine Anteile an dem Investmentfonds gekauft hat, als dieser gestartet wurde. Sein individueller Fall wurde öffentlich nicht verifiziert, da er weder das Modell des Geräts noch die Version der Software angab. Galaxy Research warnt jedoch, dass die Liste der Geschädigten noch wachsen könnte. Die Schwachstelle ist bereits öffentlich, und einige Besitzer anfälliger Seeds haben ihre Mittel noch nicht transferiert.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.