Die $70-Millionen-Coldcard-Firmware-Lücke: Wie ein fünf Jahre alter Entropie-Fehler 1.082 BTC abfließen ließ

Eine separate, frühere Welle desselben Exploits erfasste 594 BTC (~38 Millionen $) von etwa 500 Single-Signature-Wallets in einem 25-minütigen Ausbruch um 01:31 UTC . Galaxy Research, Chainalysis und das Engineering-Team von Block verknüpften die Diebstähle unabhängig voneinander mit derselben Coldcard-Sicherheitslücke .

Wie der Angreifer einen Blockchain-Analysedienst nutzte

Das Bitcoin Engineering- und Sicherheitsteam von Block unter der Leitung von Clay Garrett identifizierte, dass der Angreifer einen kostenpflichtigen Account bei einem bekannten Blockchain-Diensteanbieter nutzte, um verwundbare Adressen effizient zu identifizieren und abzufragen . Das On-Chain-Muster des Angreifers – ungewöhnlich schnelle, sequenzielle Durchläufe von Adressen mit derselben Schwachstelle – brachte die Ermittler auf die Spur. Block bestätigte Spuren, die die Aktivität des Betreibers direkt mit der Infrastruktur dieses Anbieters verbanden .

Blocks Untersuchung fand laut Garrett eine „außergewöhnliche Spezifität bis auf die Kontenebene“ . Der Analysedienst fungierte effektiv als Aufklärungsinstrument, das es dem Angreifer ermöglichte, schnell zu kartieren, welche Adressen auf verwundbarer Firmware generiert worden waren, und die reichsten Ziele zu priorisieren .

Grundursache: Ein einziger Präprozessor-Fehler

Der Bug wurde in einem Commit vom März 2021 (beginnend mit Mk3-Firmware-Version 4.0.1) während einer Migration zu Bitcoin Cores libsecp256k1-Bibliothek eingeführt . Ein Build-Konfigurationsmakro-Fehler führte dazu, dass die Firmware den dedizierten STM32-Hardware-Zufallszahlengenerator (TRNG) des Geräts umging und stattdessen auf MicroPythons deterministischen Yasmarang-Software-RNG zurückfiel .

Die Produktionsplatinenkonfiguration setzte MICROPY_HW_ENABLE_RNG auf null, weil Coldcard einen separaten Hardware-RNG-Wrapper hatte. Aber die libngu-Bibliothek rief diesen Wrapper nicht korrekt auf: Ihre Schutzbedingung (#ifndef MICROPY_HW_ENABLE_RNG) testete nur, ob das Makro definiert war, nicht ob sein Wert ungleich null war . Da das Makro definiert war (auf null gesetzt), folgerte libngu stillschweigend, dass der Hardware-Pfad verfügbar sei, und band an MicroPythons softwarebasierte rng_get()-Funktion .

Dies reduzierte die effektive Entropie auf etwa 32–40 Bits (statt der beabsichtigten 128+ Bits), was bedeutet, dass es nur etwa 4 Milliarden mögliche Seed-Werte gab – mit moderner Hardware trivial durch Brute-Force zu ermitteln . Seeds, die ohne zusätzliche Benutzer-Würfelwürfe oder eine BIP-39-Passphrase generiert wurden, waren vollständig exponiert .

Coinkite-CEO Rodolfo Novak (NVK) räumte den Fehler später ein: „Ich habe MICROPY_HW_ENABLE_RNG explizit auf null gesetzt, in dem Glauben, wir bräuchten keine der beiden Versionen, aber das macht es nicht“ .

Betroffene Geräte und Firmware

Coinkite weitete seine Sicherheitswarnung später nach weiteren Analysen auf bestimmte Mk4-, Mk5- und Q-Firmware-Versionen aus und veröffentlichte Notfall-Firmware-Updates für alle betroffenen Modelle .

Folgen für betroffene Benutzer

• Die Gelder sind unwiederbringlich verloren. Das gestohlene Bitcoin wurde konsolidiert und wird vermutlich über Standard-Mixing-Dienste gewaschen .
• Selbst nach dem Einspielen des Firmware-Patches bleiben alte Seeds kompromittiert. Benutzer müssen auf der gepatchten Firmware einen völlig neuen Seed generieren und alle Gelder auf neue Adressen übertragen .
• Benutzer, die zwischen März 2021 und Juli 2026 Seeds auf dem Mk3 generiert haben, müssen diese Seeds als verbrannt betrachten, selbst wenn sie noch keine Gelder verloren haben – ihre Wallets bleiben demselben Angriff ausgesetzt .
• Zusätzliche Passphrasen oder benutzereigene Würfelwürfe milderten den Bug und schützten einige Benutzer selbst auf verwundbarer Firmware .

Auswirkungen auf die Self-Custody-Debatte

Dieser Exploit hat eines der Kernversprechen von Self-Custody erschüttert – nämlich dass das Secure Element eines Hardware-Wallets kryptografische Sicherheit unabhängig von Softwarefehlern garantiert .

• Cold Storage ist nicht ausfallsicher. Binance-Gründer Changpeng Zhao (CZ) warnte öffentlich davor, dass selbst air-gapped Hardware-Wallets durch Firmware-Fehler unsicher werden können .
• Die Debatte dreht sich nun darum, ob sich Self-Custody für Durchschnittsanleger angesichts des operationellen Risikos lohnt. Einige Analysten prognostizieren eine Rückkehr zu regulierten Verwahrern und Bitcoin-ETFs .
• Der Bug lag über fünf Jahre lang unentdeckt in Open-Source-Code, was zeigt, dass Open-Source-Transparenz allein keine Sicherheit garantiert. Einige Forscher argumentieren nun, dass KI-gesteuerte automatisierte Audits – anstatt reiner menschlicher Code-Reviews – nötig sind, um subtile RNG-Integrationsfehler zu erkennen, bevor sie ausgenutzt werden .
• Der Vorfall verdeutlicht auch einen Single Point of Failure: Wenn ein Hardware-Anbieter einen einzigen Entropiefehler macht, ist jedes Wallet, das auf dieser Firmware generiert wurde, gleichzeitig verwundbar – ein systemisches Risiko, das Verwahrlösungen durch Key-Splitting und Multi-Party-Computation teilweise absichern.

Eine detaillierte technische Aufschlüsselung findet sich in Blocks Engineering-Report und Coinkites Technical Backgrounder .