Coldcard warnt vor aktivem Exploit: Nutzer sollen Bitcoin umgehend verschieben – bislang bis zu 114 Mio. US-Dollar betroffen

Die Entwickler der Hardware-Wallet Coldcard rufen Nutzer dazu auf, ihre Bitcoin umgehend auf eine neue Wallet zu übertragen. Das Unternehmen bestätigte am Dienstag, dass ein laufender Exploit weiterhin aktiv ist und bereits bis zu 114 Mio. US-Dollar aus selbstverwahrten Wallets abgezogen haben könnte. "Bitte als dringend einstufen. Migrieren Sie Ihre Funds", schrieb Coldcard. Nutzer sollen ihre jeweiligen Modellhinweise befolgen, das Gerät aktualisieren, eine neue Seed erzeugen und die Bestände anschließend sorgfältig übertragen. Coldcard bittet außerdem darum, insbesondere Personen zu informieren, die "weniger online" sind und die Warnung möglicherweise nicht gesehen haben. Gerade diese Nutzer seien besonders gefährdet, weil der Fix manuell durchgeführt werden müsse. Die Warnung ist laut Bericht nicht rein vorsorglich. CoinDesk meldete am Montag, dass eine mögliche vierte Abzugswelle über den Tag hinweg rund 449 BTC von 709 Adressen erfasst habe. Nach einer aktualisierten Zählung von Galaxy Research stiegen die kumulierten Verluste damit von etwa 89 Mio. US-Dollar auf bis zu 114 Mio. US-Dollar. Ursache ist demnach ein Firmware-Problem, das seit 2021 unbemerkt vorhanden war. Betroffen sind Wallets, bei denen ein einzelner Schlüssel ohne zweite Bestätigung über die Mittel verfügt. Das Risiko beschränkt sich auf bestimmte Geräte und Firmware-Versionen und bleibt bestehen, bis der jeweilige Besitzer aktiv wird. Coldcard-Nutzer mit dem Modell Mk3 (Baujahr 2019) sollen ihre Bestände sofort verschieben, sofern die Wallet mit Firmware 4.0.1 oder neuer eingerichtet wurde. Coinkite nennt eine Ausnahme: Wer bei der Einrichtung die "Dice"-Option genutzt hat, bei der mindestens 50 Würfelwürfe manuell eingegeben werden und die Wallet daraus den Schlüssel ableitet, sei nicht betroffen. Diese Wallets hätten den fehlerhaften Code nie genutzt und gelten als sicher. Besitzer von Mk4, Mk5 und Q sollten bei Firmware-Versionen unter 5.6.0 beziehungsweise 1.5.0Q ein Update durchführen, eine neue Wallet erstellen und die Coins anschließend transferieren. Der Seed ist der Generalschlüssel einer Wallet. Wird er mit zu wenig Zufallsentropie erzeugt, kann ein Angreifer ihn erraten und rekonstruieren und die Bestände abziehen, ohne das Gerät selbst zu berühren. "Jede Wallet hängt letztlich von einem Root-Secret ab, das aus hochwertiger Entropie erzeugt wird", schrieb Bouzon in einer E-Mail an CoinDesk. Die Erzeugung dieser Entropie müsse "in sicherer Hardware verankert sein, mit einer Architektur, die nicht unbemerkt auf eine nicht vertrauenswürdige, softwarebasierte Quelle herabstufen kann". Alternativen seien schlechter: Software-Wallets auf unsicherer Hardware seien noch riskanter, und die Verwahrung bei einer zentralisierten Börse sei "kein Eigentum, sondern ein Schuldschein". Bitcoin notierte am Dienstag in den frühen US-Handelsstunden laut CoinDesk-Daten bei rund 63.800 US-Dollar und reagierte kaum auf die Wallet-Warnung.