Coinkite hat Besitzer der Coldcard Mk3 aufgefordert, ihre Guthaben zu verschieben, nachdem 594,5 Bitcoin (BTC) von 500 Adressen abgeräumt wurden und Hinweise auf schwache Seed-Generierung aufgetaucht sind.
Wichtigste Punkte:
- Jede Mk3-Firmware-Version seit 4.0.1 könnte verwundbare Seeds erzeugt haben.
- Nutzer von Mk4, Mk5 und Q mit älterer Firmware müssen ihre Geräte aktualisieren, neue Seeds erzeugen und Gelder migrieren.
- Unter den gemeldeten Opfern traten keine Multisig- oder Taproot-Wallets auf.
Risiko bei Coldcard-Seeds
Coinkite erklärte in einer Sicherheitsmitteilung, dass jede Mk3-Firmware-Version seit 4.0.1, die im März 2021 veröffentlicht wurde, von einem Entropieproblem bei der geräteinternen Seed-Erzeugung betroffen ist. Seeds, die auf Mk4 und Mk5 vor Version 5.6.0 oder auf Q vor 1.5.0Q erzeugt wurden, sind ebenfalls ernsthaft gefährdet.
Dem Unternehmen zufolge enthalten betroffene Seeds nur rund 72 Bits Entropie statt der erwarteten 128 Bits – mit unterschiedlicher Auswirkung je nach Modell. TAPSIGNER, OPENDIME und SATSCARD sind nicht betroffen, da sie auf eigenen Codebasen laufen. Eine Firmware-Aktualisierung kann einen bestehenden Seed nicht nachträglich reparieren.
Anwender sollen zuerst die korrigierte Firmware installieren, dann einen Ersatz-Seed erzeugen, diesen sicher sichern, eine Empfangsadresse direkt am Gerät verifizieren und anschließend eine kleine Testtransaktion senden.
Mk3-Besitzer ohne Zweitgerät können vorübergehend eine starke, eindeutige BIP-39-Passphrase als zusätzliche Schutzschicht verwenden, doch Coinkite rät dennoch, zeitnah auf einen neu generierten Seed umzuziehen.
Auch interessant: Bitcoin-ETFs absorbieren 233,1 Mio. $, ein einzelner Fonds liefert den Großteil
Auswirkungen des Bitcoin-Diebstahls
Atlas21 berichtete, dass ein automatisiertes Setup am 30. Juli 500 Single-Signature-Adressen über die Blöcke 960188 bis 960191 hinweg leerräumte. Die Transaktionen bündelten 1.324 UTXOs und bewegten 594,5 BTC im Wert von knapp 38 Mio. US‑Dollar, bei Transaktionsgebühren von rund 0,044 BTC. Multisig- oder Taproot-Adressen tauchten nicht auf.
Der Medianverlust pro Opfer lag bei 0,41 BTC, 110 Adressen verloren mehr als einen Bitcoin, und der größte Einzelschaden belief sich auf 29,9 BTC. Laut Atlas21 deutet das Transaktionsmuster klar auf schwache Private Keys hin, die bereits bei der Wallet-Erstellung generiert wurden. Der erste öffentliche Hinweis kam von einem Nutzer, dessen 24-Wort-Seed 2021 auf einer Coldcard erzeugt und nie auf einem Computer eingegeben wurde.
Der Vorfall zeigt, dass Offline-Aufbewahrung allein keine Sicherheit bietet, wenn der zugrunde liegende Seed nicht ausreichend zufällig ist. Coinkites Warnung betrifft Wallets, die über mehr als fünf Jahre hinweg erstellt wurden und deren Besitzer bis zur Migration einem erhöhten Risiko ausgesetzt sind, während der Bitcoin-Kurs nach dem Sweep weiter in der Nähe von 64.000 US‑Dollar verharrte.
Weiterlesen: Polymarket-Händler räumen Spider-Man eine 91%ige Chance auf ein historisches Debüt ein