Ledger-Manager Ian Rogers sieht in dem Diebstahl von Coldcard-Wallets im Umfang von rund 116 Millionen US‑Dollar vor allem ein Beispiel dafür, wie Künstliche Intelligenz Schwächen in der Zufallserzeugung massiv ausnutzen kann – nicht aber einen Beweis dafür, dass Hardware-Wallets oder Self-Custody grundsätzlich unsicher seien.
Zentrale Punkte:
- Ein Fehler bei der Seed-Erzeugung auf Coldcard-Geräten reduzierte die effektive Entropie auf etwa 40 Bit bei älteren Geräten und rund 72 Bit bei neueren betroffenen Modellen.
- Laut TRM Labs wurden seit den ersten Angriffswellen ab dem 30. Juli rund 1.816 Bitcoin (BTC) entwendet – ein Schaden nahe 116 Millionen US‑Dollar.
- Rogers argumentiert, KI senke die Kosten, Schwachstellen zu finden, während autonome Agenten neue Risiken schaffen, sobald sie Zugang zu Zugangsdaten und anderen Geheimnissen erhalten.
Schwachstelle in Bitcoin-Wallet
Wie mehrere Medien am 12. August berichteten, widersprach Rogers, Chief Human Agency Officer bei Ledger, der These, der Vorfall belege eine grundlegende Schwäche von Hardware-Wallets. Stattdessen verwies er auf mangelhafte Zufallserzeugung – und auf KI-Tools, die Angreifern helfen, verwundbare Systeme deutlich effizienter zu identifizieren.
Coldcard-Hersteller Coinkite erklärte, ein 2021 eingeführter Firmware-Fehler habe dazu geführt, dass Seeds nicht mehr über den vorgesehenen Hardware-Zufallspfad, sondern über einen softwarebasierten Pseudozufallsgenerator erzeugt wurden. Vorläufige Schätzungen setzen die effektive Entropie auf rund 40 Bit bei betroffenen Mk2- und Mk3-Geräten und bei etwa 72 Bit auf neueren betroffenen Modellen an.
Nach Angaben von TRM Labs wurden in vier Angriffswellen rund 1.816 BTC von mehr als 5.200 Adressen abgezogen, bei einem Gesamtwert von knapp 116 Millionen US‑Dollar. Ledger betont, die eigenen Geräte erzeugten Entropie über einen hardwarebasierten, echten Zufallszahlengenerator innerhalb eines zertifizierten Secure Elements – ohne softwareseitige Rückfallebene.
Lesen Sie auch: XRP fällt unter 1 Dollar, während Wale heimlich 380 Mio. Token einsammeln
Warnung von Ian Rogers
Rogers zufolge verändert KI die Bedrohungslage in drei Dimensionen: Sie verschafft Angreifern leistungsfähigere Werkzeuge zur Schwachstellensuche, beschleunigt zugleich Softwareentwicklung – und vergrößert die Zahl von KI-Agenten mit Zugriff auf sensible Systeme.
Das dritte Risiko reiche weit über Krypto-Wallets hinaus, da Unternehmensagenten E-Mails, Zugangsdaten, Zahlungsinformationen und interne Kommunikation verarbeiten könnten.
Rogers verglich Zugriffskontrollen für KI-Agenten mit der Frage, wann Eltern ihrem Teenager den Autoschlüssel überlassen: Der Kontext müsse entscheiden, wann ein Agent sensible Berechtigungen tatsächlich nutzen darf. Ledger entwickelt nach eigenen Angaben Werkzeuge, die die operative Steuerung einer Wallet durch einen Agenten strikt von der Kontrolle über die privaten Schlüssel trennen sollen.
„Wo auch immer Ihre Vermögenswerte liegen – Sie sollten sich für das Sicherheitsniveau interessieren, das sie schützt“, sagte Rogers gegenüber Bloomberg.
Ledger hatte ähnliche Bedenken zur Zufallsqualität bereits früher geäußert. Das hauseigene Donjon-Sicherheitsteam meldete dem Anbieter der Trust Wallet im November 2022 eine Schwachstelle in der Browser-Erweiterung, nachdem man festgestellt hatte, dass die Seed-Entropie dort auf nur noch 32 Bit abgesunken war.
Als Nächstes lesen: Apple-Pay-Chefin Jennifer Bailey tritt nach 25 Jahren im Unternehmen in den Ruhestand
