Coldcard-Sicherheitslücke: Mehr als 88 Mio. US-Dollar in Bitcoin gestohlen

Schaden übersteigt 88 Mio. US-Dollar: Nach einem Angriff auf Coldcard-Hardware-Wallets sind nach aktuellen Auswertungen bereits Vermögenswerte im Wert von mehr als 88 Mio. US-Dollar abhandengekommen – und die Attacke läuft weiter. Am 31. Juli wurden laut Analyse rund 500 Coldcard-Geräte kompromittiert. Dabei wurden 594 Bitcoin im Gegenwert von etwa 38 Mio. US-Dollar entwendet. Coinkite, der Hersteller der Coldcard-Wallets, bestätigte anschließend eine Schwachstelle im Prozess der Schlüsselerzeugung. Betroffen sind mehrere Produktgenerationen, darunter Coldcard Mk2, Mk3, Mk4, Q und Mk5. Nutzerinnen und Nutzer sollten ihre Bestände so schnell wie möglich auf eine neue Adresse übertragen. Beosin beschreibt die Ursache der Lücke sowie die Nachverfolgung der gestohlenen Mittel wie folgt. I. Analyse der Schwachstelle Eine Auswertung der Commit-Historie der Coldcard-Firmware zeigt, dass im vorherigen Commit 37e4af5451c260c1e7d429fe8972c4cb5e68ee59 mehrere Codebereiche mit Bezug zur MK4-Konfiguration angepasst wurden. In mpconfigboard.h wurde unter anderem gesetzt: "#define MICROPY_HW_ENABLE_RNG (0)". Diese Macro steuert in MicroPython (STM32-Port) den Kompilierpfad für die Standard-Anbindung des Hardware-Zufallszahlengenerators (RNG) sowie die generische Random-Implementierung. Mit dem Wert 0 wird der Standard-Hardware-RNG nicht als Backend für das generische rng_get() genutzt; der Kommentar deutet auf eine eigene Implementierung hin. In der projektspezifischen rng.h sind jedoch lediglich zwei MicroPython-Objekte deklariert: MP_DECLARE_CONST_FUN_OBJ_0(pyb_rng_get_obj); MP_DECLARE_CONST_FUN_OBJ_1(pyb_rng_get_bytes_obj); Die Implementierung zeigt, dass die Coldcard-spezifische Logik den Hardware-RNG grundsätzlich nutzen will, dies aber nur sicherstellt, wenn pyb_rng_get* bzw. die interne random_buffer()-Logik aufgerufen wird. Bei der Wallet-Erstellung wird in shared/seed.py folgendes Muster verwendet: async def make_new_wallet(nwords): await ux_dramatic_pause('Generating...', 3) seed = generate_seed() words = await approve_word_list(seed, nwords) if words: await commit_new_words(words) Dieser Ablauf führt zunächst in das Modul shared/random.py. Frühere Versionen setzen dort explizit auf ngu.random und dokumentieren: "for bytes, use ngu.random.bytes(len)". Entscheidend: Die Initialisierung verwendet random.bytes und nicht pyb.rng(); das benutzerdefinierte pyb_rng_get_obj überschreibt random.bytes nicht automatisch. Da MICROPY_HW_ENABLE_RNG auf 0 gesetzt war, nutzte die Seed-Erzeugung beim Wallet-Setup nicht den Hardware-RNG, sondern fiel auf die MicroPython-Fallback-Implementierung in micropython/ports/stm32/rng.c zurück. In diesem Pfad wird pyb_rng_yasmarang genutzt – ein Pseudozufallszahlengenerator, der für die Erzeugung von Hardware-Wallet-Seeds als unsicher gilt, da Angreifer die Schlüssel per Bruteforce rekonstruieren können. Coinkite hat daraufhin laut Beosin stm32/rng.c im Makefile explizit ausgeschlossen, um die Fallback-PRNG nicht mehr zu kompilieren. Stattdessen soll das boardspezifische rng.c rng_get() bereitstellen; zusätzlich wird pyb_rng_yasmarang per Compiler-Flag auf "errordonotwantthis" gesetzt. II. Nachverfolgung der entwendeten Mittel Beosin zufolge wurden Gelder aus mehreren betroffenen Wallets bereits weitertransferiert und in wenigen Adressen gebündelt; weitergehende Verschleierungsschritte seien bislang nicht erkennbar. Über Threat-Intelligence- und Onchain-Analyse identifizierte Beosin Trace folgende Sammeladressen: - bc1qq85v2c926eg6pgxhwp6q7lf6cnsz80qs3fcu9r (562 BTC) - bc1qx76cae2706qd5q576feh7xq8rfcsjpf2htfhe3 (398.47 BTC) Zudem zeigten die folgenden Adressen ein ähnliches Zuflussmuster und wiesen zum Zeitpunkt der Analyse noch keine weiteren Abflüsse auf: - bc1q8jy96fe5lf8vfugydnte3cguk92gpev7kwtp3q (89.62 BTC) - bc1q0rvn88w08j75k4h48lf9fvhan7unjp7vjf5q6m (64.9 BTC) - bc1qtfrwa4j6rmj9rsgspv6a0yjumkg39js2numu75 (45.9 BTC) - bc1qmd5m5ktv7m5ffujxv4248fxv36myvdx79n8jp6 (30.18 BTC) Die Angriffe auf Coldcard-Wallets dauern laut Beosin an. Das Team beobachte fortlaufend weitere Sammeladressen und analysiere die zugehörigen Bewegungen. III. Einordnung Nach Darstellung von Beosin geht der Vorfall auf einen Implementierungsfehler zurück: Bei der kritischen Seed-Generierung kam ein Pseudozufallszahlengenerator zum Einsatz. Die Entwicklungsteams sollten Code kontinuierlich testen und auditieren. Coldcard-Nutzerinnen und -Nutzer sollten ihre Bestände zeitnah transferieren und künftige Sicherheitsmitteilungen von Coinkite eng verfolgen. Beosin beschreibt sich als Anbieter von Blockchain-Sicherheits- und Compliance-Technologie mit Schwerpunkten auf Smart-Contract-Audits vor dem Launch, Echtzeit-Risikoüberwachung und -Blockierung, Asset-Recovery, Anti-Geldwäsche (AML) für virtuelle Vermögenswerte sowie investigativer Nachverfolgung. Das Unternehmen gibt an, Behörden in mehr als 20 Ländern und Regionen sowie über 200 Virtual-Asset-Service-Providern und mehr als 4.500 Web3-Projekten Produkte und Sicherheitsservices bereitgestellt zu haben.