COLDCARD-RNG-Schwachstelle mit Bitcoin-Diebstahl im Wert von 88,6 Millionen US-Dollar in Verbindung gebracht

Forscher gehen davon aus, dass eine RNG-Schwachstelle in COLDCARD Angreifern ermöglicht haben könnte, Bitcoin im geschätzten Wert von 88,6 Millionen US-Dollar aus Tausenden von Hardware-Wallets zu stehlen.

Galaxy Research brachte den mutmaßlichen Angriff mit mehreren koordinierten Transaktionswellen in Verbindung, bei denen 1.367 BTC von 4.585 Adressen abgezogen wurden. Die Aktivitäten begannen am 30. Juli, rund 30 Stunden bevor der Wallet-Hersteller Coinkite das Problem öffentlich machte.

Als Galaxy seine Ergebnisse veröffentlichte, befanden sich die gestohlenen Gelder noch immer auf Adressen unter der Kontrolle der Angreifer.

Automatisierte Diebstähle zielten auf anfällige Wallets ab

Galaxy identifizierte eine erste Angriffswelle, bei der rund 1.083 BTC, damals im Wert von 70,2 Millionen US-Dollar, innerhalb von nur 41 Minuten von 1.196 Wallet-Adressen transferiert wurden.

Jede Transaktion verwendete dieselbe fest codierte Gebühr von 30 Satoshi pro virtuellem Byte. Außerdem gab es keinen Wechselgeld-Output, was darauf hindeutet, dass ein automatisiertes System Wallets leerräumte, deren private Schlüssel es bereits kontrollierte.

Weitere Transaktionen am 1. August erhöhten den geschätzten Gesamtschaden auf 1.367 BTC im Wert von rund 88,6 Millionen US-Dollar.

Chainalysis erklärte, dass der Angreifer offenbar die wertvollsten Ziele bevorzugte. Berichten zufolge wurden in den ersten zehn Minuten Vermögenswerte im Wert von rund 30 Millionen US-Dollar gestohlen, während ein einzelnes Opfer 1,8 Millionen US-Dollar verlor. Dieses Muster deutet darauf hin, dass der Angreifer anfällige Adressen bereits vor Beginn der Diebstähle identifiziert hatte.

Firmwarefehler schwächte die Seed-Generierung

Die Bitcoin-Engineering- und Security-Teams von Block untersuchten gemeinsam mit anderen Forschern Berichte über gestohlene COLDCARD-Gelder. Sie führten das Problem auf einen Integrationsfehler im Code zur Zufallszahlengenerierung der Wallet zurück.

Obwohl die Geräte über einen Hardware-Zufallszahlengenerator verfügen, führten fehlerhafte Firmware-Prüfungen dazu, dass betroffene Modelle stattdessen auf den deterministischen Software-Fallback Yasmarang von MicroPython zurückgriffen.

Dieser Fallback verwendete die Mikrocontroller-ID des Geräts sowie Zeitdaten. Diese Werte sind keine sicheren Quellen für Zufälligkeit und können von Angreifern beobachtet oder rekonstruiert werden.

Dadurch konnten Angreifer mögliche Wallet-Seeds offline generieren, die zugehörigen Bitcoin-Adressen berechnen und diese mit öffentlichen Blockchain-Daten abgleichen. Sobald sie eine Übereinstimmung fanden, konnten sie die privaten Schlüssel ableiten und die Guthaben stehlen.

Welche COLDCARD-Wallets sind betroffen?

Laut Coinkite sind folgende Seeds betroffen:

• Mk2- und Mk3-Geräte mit den Firmware-Versionen 4.0.1 bis 4.1.9
• Mk4- und Mk5-Geräte mit Standard-Firmware vor Version 5.6.0 oder Edge-Firmware vor Version 6.6.0X
• Q-Geräte mit Standard-Firmware vor Version 1.5.0Q oder Edge-Firmware vor Version 6.6.0QX

Eine aktualisierte Firmware steht inzwischen zur Verfügung. Das bloße Installieren des Updates schützt jedoch keinen Seed, der mit dem fehlerhaften Zufallszahlengenerator erstellt wurde.

Betroffene Nutzer sollten einen neuen Seed erstellen

Nutzer potenziell betroffener Wallets sollten zunächst sicherstellen, dass sie über ein funktionierendes Backup verfügen. Anschließend sollten sie die aktualisierte Firmware installieren, einen vollständig neuen Seed erstellen, diesen sicher sichern und die neue Wallet-Adresse direkt auf dem Gerät überprüfen.

Bevor alle verbleibenden Bitcoin übertragen werden, sollten Nutzer zunächst eine kleine Testtransaktion durchführen. Das alte Backup sollte aufbewahrt werden, bis die Migration vollständig abgeschlossen und bestätigt ist.

Coinkite erklärt, dass Wallets, die mithilfe von mindestens 50 fairen, privaten und unabhängigen Würfelwürfen erstellt wurden, allein von dieser COLDCARD-RNG-Schwachstelle nicht betroffen sind. Eine starke und einzigartige BIP-39-Passphrase erhöht zudem den Aufwand für einen Angriff erheblich, behebt jedoch keinen bereits kompromittierten Seed.

Die Produkte TAPSIGNER, OPENDIME und SATSCARD sind nicht betroffen, da sie auf separaten Codebasen basieren.