SolidProof.io Official

In 41 Minuten wurden 1.196 Bitcoin Wallets leergeräumt. Niemand hat ein Gerät angefasst, niemand hat auf einen Phishing Link geklickt, niemand hat seine 24 Wörter verraten. Der Fehler passierte fünf Jahre vorher, in der Sekunde, in der das Gerät diese Wörter erzeugt hat. Betroffen ist die Coldcard des kanadischen Herstellers Coinkite, eine der meistgenutzten Hardware Wallets der Welt. Galaxy Research dokumentierte am 30. Juli den ersten Abfluss, seitdem sind es vier Wellen und rund 1.816 Bitcoin, beim aktuellen Kurs etwa 115 Millionen Dollar. Die Zuordnung läuft über Muster in den Transaktionen, ohne Beweis für jede einzelne Adresse. Der Angriff läuft weiter, während du das hier liest. So ein Gerät ist im Grunde ein Tresor, der nie ans Internet kommt. Das Zahlenschloss sind 24 Wörter. Wer sie hat, hat das Geld, egal wo auf der Welt er sitzt. Deshalb hat das Gerät eine einzige wirklich wichtige Aufgabe, und es erledigt sie beim allerersten Einschalten: die Kombination auswürfeln. Dafür sitzt darin ein Bauteil, das echten Zufall aus physikalischem Rauschen zieht. Die ganze Sicherheit hängt an diesen paar Sekunden, und sie sind das Einzige, was der Nutzer selbst nie nachprüfen kann. Bei Coldcard war dieser Würfel fünf Jahre lang gezinkt. Eine Codeänderung vom März 2021 ersetzte das Zufallsbauteil durch ein Rechenverfahren, das nur zufällig aussieht. In Wahrheit startete es aus der Gerätenummer und dem Stand einer internen Uhr. Aus unvorstellbar vielen möglichen Kombinationen wurden so rund 1,1 Billionen. Ein handelsüblicher Rechner geht diese Liste an einem Wochenende durch. Der Angreifer musste kein Gerät stehlen und niemanden täuschen. Er rechnete die Liste durch, bildete die dazugehörigen Adressen und schaute, auf welchen davon Bitcoin liegt. Coinkite hat korrigierte Firmware veröffentlicht, doch das Update repariert keine bestehende Wallet. Die Wörter sind einmal gezogen worden und bleiben schwach, egal auf welches Gerät man sie später überträgt. Betroffene müssen eine neue Wallet erzeugen und ihr Guthaben rüberschicken. Bleibt die Frage, die seit Tagen durch jede Krypto Timeline läuft. Kann das bei Ledger oder BitBox auch passieren? Ledger erklärt, die eigenen Geräte seien nicht betroffen. Der Zufall komme dort aus einem zertifizierten Spezialchip, geprüft nach einer Methodik des deutschen Bundesamts für Sicherheit in der Informationstechnik. Der Preis dafür ist Offenheit, denn genau dieser Teil der Software ist von außen nicht einsehbar. BitBox aus Zürich geht den umgekehrten Weg und ist ebenfalls nicht betroffen. Die Schweizer würfeln eine neue Wallet aus fünf voneinander unabhängigen Quellen. Mischt man guten Zufall mit schlechtem, bleibt das Ergebnis gut. Solange eine dieser fünf Quellen unvorhersehbar ist, bleibt die ganze Wallet unvorhersehbar. Coldcard war ebenfalls Open Source, der fehlerhafte Code stand fünf Jahre lang öffentlich im Netz, gefunden hat ihn trotzdem zuerst der Angreifer, laut Coinkite vermutlich mit Hilfe einer KI. Offener Code hilft nur, wenn ihn jemand tatsächlich liest. Geschützt hat hier am Ende die Redundanz. Jede dieser Überweisungen war regelkonform, weil der Angreifer den passenden Schlüssel besaß. Das Bitcoin Netzwerk hat exakt getan, wofür es gebaut wurde. Versagt hat die Firmware einer einzigen Firma.

We appreciate the publication of our updated audit results by SolidProof. Transparency, independent security reviews, and continuous improvement remain important parts of our commitment to the community.