Coldcard-Firmwarelücke ermöglicht KI-gestützten Diebstahl — über 1.300 BTC (rund 89 Mio. US-Dollar) entwendet

Morning Minute — Tyler Warner (Meinungen sind meine eigenen; nicht zwingend die von Decrypt). GM! Top-Thema heute: Coldcard, eine bei anspruchsvollen Bitcoin-Haltern hoch angesehene Hardware-Wallet, steht im Zentrum eines der größten Self-Custody-Diebstähle der Krypto-Geschichte. Was passiert ist Angreifer haben Bitcoin von Coldcard-Mk3-Geräten systematisch abgezogen — ohne jemals die Hardware in die Hand zu bekommen. Es geht nicht um Phishing, sondern um eine Schwachstelle in der Firmware. Ein Coldcard-Firmware-Update aus dem März 2021 führte bei der Seed-Erzeugung eine Software-Notfallroutine ein, die den Hardware-Zufallszahlengenerator umging. Durch diesen Entropie-Verlust soll die Schlüsselstärke von den vorgesehenen 128 Bit auf etwa 40 Bit gefallen sein — Seeds wurden damit schätzbar. Weil sich private Keys aus der geschwächten Entropie rekonstruieren ließen, konnten auch offline gelagerte Bestände — selbst im Bankschließfach — leergeräumt werden. Ein kanadisches Opfer verlor 18,25 BTC und schrieb, das Schwerste sei gewesen, dass er „alles richtig gemacht“ habe. Ausmaß und Zeitplan Die Diebstähle begannen in der vergangenen Woche und eskalierten schnell. Aus einem zunächst geschätzten Schaden von 38 Mio. US-Dollar wurde deutlich mehr, als Forscher weitere Aktivität nachverfolgten. Galaxy Research berichtet inzwischen von rund 1.367 BTC (etwa 88,6 Mio. US-Dollar), die über 4.585 Adressen in drei „Wellen“ abgezogen wurden. Eine neue Welle wurde am Samstag markiert. Galaxy warnt, dass der Exploit offenbar weiterhin aktiv ist und dass letztlich jedes verwundbare Gerät leergeräumt werden dürfte, wenn keine Gegenmaßnahmen erfolgen. Das Unternehmen hat rund 600 mutmaßliche Angreifer-Adressen an Bundesermittler übergeben. Forscher halten eine mögliche vierte Welle für denkbar, die den Schaden in Richtung 114 Mio. US-Dollar treiben könnte. Zugleich weisen sie darauf hin, dass sich einige der neuesten Sweeps möglicherweise vermeiden lassen, indem Transaktionsabwicklungen im Mempool „frontgerunnt“ werden. Die Rolle von KI — und die größeren Folgen Coinkite, der Hersteller von Coldcard, erklärte, man müsse davon ausgehen, dass ein Angreifer KI eingesetzt habe, um die Open-Source-Firmware nach Schwachstellen zu durchsuchen. Eine eigene KI-gestützte Code-Überprüfung von Coinkite Wochen zuvor hatte den Bug nicht entdeckt. Alex Thorn, Research-Chef bei Galaxy, beschrieb das Sweep-Verhalten als programmatisch und „wahrscheinlich mit einem Large Language Model orchestriert“. Beobachter sehen darin ein beunruhigendes Muster: Innerhalb kurzer Zeit wurde KI mit dem Knacken kryptografischer Kandidaten, Sandbox-Escapes und nun großflächigen Wallet-Abzügen in Verbindung gebracht. In der Krypto-Szene wirft das grundsätzliche Fragen auf, wie KI-Tools offensive und defensive Fähigkeiten verschieben — und was das für das Kernversprechen der Selbstverwahrung bedeutet. Was Nutzer wissen sollten (und tun können) Wer eine Coldcard Mk3 oder ein potenziell betroffenes Gerät besitzt, sollte vor jedem Schritt die offiziellen Kanäle von Coinkite auf Hinweise und Firmware-Advisories prüfen. Bestände auf möglicherweise verwundbaren Geräten sollten als gefährdet gelten, bis das Unternehmen einen klaren Patch oder einen Migrationspfad bereitstellt. Ein Umzug der Coins auf sichere, verifizierte Lösungen sollte erst nach bestätigtem Update und strikt nach Herstelleranleitung erfolgen. Bei Unsicherheit ist fachkundige Hilfe ratsam. Die Lage entwickelt sich weiter. Ich bleibe dran und melde Updates, sobald Ermittler und Anbieter reagieren.