Bitcoin-Verluste durch Coldcard-Sicherheitslücke steigen laut Galaxy Research auf 70 Millionen Dollar

Galaxy Research erklärte am Freitag, dass fast 1.200 Adressen um mehr als 1.000 BTC, im Wert von etwa 70 Millionen Dollar, durch Transaktionen geleert wurden, die mit einer Schwachstelle in Coldcard Hardware-Wallets in Verbindung gebracht werden.

Am Donnerstag teilte Coinkite mit, dass es ein laufendes Problem mit Seeds gibt, die auf Coldcard Mk3-Geräten generiert wurden. „Aus großer Vorsicht warnt Coinkite alle Nutzer, die ein Seed mit einem Mk3 auf Version 4.0.1 (März 2021) oder einer späteren Version generiert haben, dass ihre Gelder gefährdet sein könnten“, sagte der Hersteller von Krypto-Hardware.

Coinkite weitete später die Warnung auf bestimmte Mk4-, Mk5- und Coldcard Q-Firmware-Versionen aus und veröffentlichte Notfall-Firmware-Updates für alle betroffenen Modelle.

Novak deutete zudem an, dass die Schwachstelle möglicherweise mithilfe von künstlicher Intelligenz entdeckt wurde und bezeichnete den Vorfall als „eine ernüchternde Realität des neuen KI-Paradigmas“. Er warnte, dass KI-unterstützte Code-Überprüfung latente Fehler schneller aufdecken kann als selbst erfahrene Sicherheitsexperten, wodurch Angreifer die Schwachstellen im öffentlich zugänglichen Code ausnutzen können.

Wir haben den Geldfluss für die Coldcard-Schwachstelle anhand des Musters, das von den Ingenieuren bei Block identifiziert und von [Clay Garrett] geteilt wurde, kartiert: 1.196 Adressen wurden vollständig geleert für 1.082,65 BTC (~70,2 Millionen Dollar) zwischen 01:10:20 und 01:51:26 UTC am 30. Juli.“

„Die Beschaffenheit der Schwachstelle bedeutet, dass zukünftige Angriffe auf jede von Coldcard generierte Adresse möglich sind und diese nicht diesem Muster entsprechen müssen“, sagte Galaxy Research ebenfalls am Freitag. „Das Muster zeigt uns, dass alle vom selben Angreifer stammen — es erfasst jedoch nicht den Angriff selbst, der so aussieht, als hätte ein Coin-Besitzer die Coins verschoben.“

Coinkite hat empfohlen, dass Nutzer ihre Firmware aktualisieren und einen neuen Seed generieren sollen. Außerdem sollten sie die neue Wallet zunächst mit einer kleinen Transaktion testen, bevor sie alle ihre Gelder übertragen und das alte Backup behalten, bis die Transaktion abgeschlossen ist.