Coldcard-Angriff legt fünf Jahre alten Firmware-Fehler offen: Bitcoin im Wert von über 100 Mio. US-Dollar gestohlen

Als die ersten Warnungen eintrafen, war Cory Klippsten gerade auf einer Hochzeit in Paris. Es sei "ein brutales Wochenende" gewesen, sagte der Swan-CEO in einem Interview. "Ich habe um 4 Uhr morgens Nachrichten geschrieben, um jemandem an der US-Westküste zu helfen, seine Coins in Sicherheit zu bringen." Auslöser war ein Angriff, der am vergangenen Donnerstag begann: Hacker räumten Bitcoin aus Tausenden Coldcard-Hardware-Wallets ab. Ausgenutzt wurde eine Firmware-Schwachstelle, die fünf Jahre lang unentdeckt geblieben war. Konkret soll ein Fehler in einem Firmware-Update vom März 2021 für die von Coinkite hergestellte Wallet dazu geführt haben, dass private Schlüssel weniger sicher waren als vorgesehen. Nach drei Angriffswellen wurden laut Galaxy Research knapp 1.600 BTC aus rund 7.300 Adressen abgezogen, mit einem Gegenwert von mehr als 100 Mio. US-Dollar. Swan, eine in den USA ansässige Plattform, die Privatkunden beim Kauf, Halten und der Selbstverwahrung (Self-Custody) von Bitcoin unterstützt, stoppte Auszahlungen für als gefährdet eingestufte Kunden, spielte Warnhinweise in der App aus und weitete die Migrationshilfe auch auf Nichtkunden aus. "Unser Team hat alles stehen und liegen lassen, um Kunden anzurufen. Danach haben wir es für alle geöffnet, die Hilfe brauchten, unabhängig davon, ob sie jemals Swan-Kunde waren oder nicht", so Klippsten. Eine Woche später sind nach seinen Angaben nahezu 90% der entwendeten Coins on-chain weiterhin unbewegt. Bestätigte Angreiferadressen seien an US-Bundesbehörden weitergegeben worden. Coinkite aus Toronto habe zudem sämtliche betroffenen Geräteserien mit Patches versorgt. Ein von OpenSats finanziertes Freiwilligenteam untersuchte mehr als 150 Open-Source-Repositories und fand keine Hinweise, dass das Problem über Coldcard hinausreicht. Der Vorfall befeuerte in der Branche eine Debatte über den Nutzen der Selbstverwahrung. Einige Stimmen sehen darin ein Argument, Bitcoin eher über börsengehandelte Fonds (ETFs) zu kaufen, statt die Coins selbst zu verwahren. Klippsten widerspricht: Kunden würden sich nicht von Self-Custody abwenden, sondern nach Wegen suchen, den Zugriff auf ihre Bestände robuster zu machen. "Gerade wechseln viele in den Swan Vault", sagte er mit Blick auf das kooperative Multisig-Produkt des Unternehmens, bei dem kein einzelnes Gerät die Guthaben eines Nutzers allein gefährden kann. "Statt Self-Custody aufzugeben, rüsten viele auf." Sein Fazit fällt verhalten optimistisch aus: "Es ist schlimm, dass Menschen Coins verloren haben, obwohl sie vieles so gemacht haben, wie es ihnen zahlreiche bekannte Stimmen in der Branche geraten hatten. Aber Bitcoin ist antifragil, und die Werkzeuge werden stündlich stärker. Am Ende könnte das die beste Sache gewesen sein, die der Selbstverwahrung je passiert ist."