Changpeng Zhao (CZ) warnt Halter von Bitcoin, dass auch Hardware-Wallets ausfallen können. Er meldet sich kurz nachdem durch einen Coldcard-Firmwarefehler Diebe Privatkeys herausfinden und 70 Millionen USD stehlen konnten.
Forscher bei Galaxy und Block haben den Diebstahl nachverfolgt. Angreifer leerten 1.196 Wallets innerhalb von 41 Minuten am 30. Juli. Kein einziges Gerät wurde dabei berührt.
CZ: Grenzen der Cold Storage
CZ, der Gründer und ehemalige CEO der Binance-Börse, sagt, dass auch eine alte und vertraute Wallet trotzdem kaputtgehen kann.
Als er seinen Beitrag veröffentlichte, wurde der Verlust zunächst auf 38 Millionen USD geschätzt. Tatsächlich waren es aber fast doppelt so viel.
„Auch Hardware-Wallets können Fehler haben. Auch alte Wallets (mit einer langen Geschichte) können Fehler haben. Wie kann man das Risiko verringern? Vielleicht, indem Sie Ihr Geld auf mehrere Wallets aufteilen? Das bringt wiederum neue Risiken. Nichts ist zu 100%. Bleiben Sie informiert. Bleiben Sie SAFU!”, schrieb CZ.
Folgen Sie uns auf X, um aktuelle Nachrichten direkt zu erhalten
Er riet, die Coins über mehrere Wallets zu verteilen. Zugleich gab er zu, dass dadurch neue Risiken entstehen.
CZ spricht aktuell offen über frühere Fehleinschätzungen, unter anderem zur Marktentwicklung bei Stablecoins, die er damals unterschätzte, die aber jetzt einen Wert von mehr als 300 Milliarden USD hat.
Wie der Coldcard-Firmwarefehler Seeds erratbar machte
Jede Wallet beginnt mit einer sehr großen geheimen Zahl. Diese heißt Seed. Jeder Schlüssel und jede Adresse werden aus diesem Seed abgeleitet. Diese Zahl muss zufällig sein. Coldcard nutzte dafür einen speziellen Chip.
Im März 2021 unterlief jedoch ein Programmierfehler. Plötzlich war eine unsichere Notfalllösung dafür zuständig. Diese nutzte die Seriennummer des Geräts und die Uhrzeit. Beides lässt sich berechnen.
Dadurch war die Zufallszahl nicht mehr groß. Die Entwickler von Block schätzten, dass aktuellere Modelle noch etwa vier Milliarden Möglichkeiten zulassen. Ein Computer kann diese Zahl schnell durchprobieren.
Diebe haben die Seeds somit einfach selbst erstellt. Sie wandelten jeden Seed in Adressen um. Dann durchsuchten sie die öffentliche Blockchain nach passenden Wallets mit Guthaben.
Galaxy dokumentierte die Zugriffe. Jede Transaktion zahlte exakt die gleiche Gebühr, weit höher als üblich. Kleingeld wurde niemals zurückgelassen. Das deutet auf eine Software, nicht auf einen Menschen hin.
„Das gesamte Ereignis erstreckt sich über sechs Blöcke und 41 Minuten. Drei dazwischenliegende Blöcke zeigen keine Aktivität, was darauf hindeutet, dass die Transaktionen in Gruppen und nicht fortlaufend übertragen wurden”, gaben die Galaxy-Forscher an.
Wallet-Halter können ihre Seeds weiterhin nicht selbst testen
Coinkite hat für alle Modelle eine fehlerbereinigte Firmware veröffentlicht. Ein Update kann aber einen bereits bestehenden Seed nicht reparieren.
Ist Ihr Seed betroffen, benötigen Sie einen frischen Seed und eine neue Wallet. In BeInCryptos früherer Coldcard-Berichterstattung finden Sie eine Anleitung fürs richtige Vorgehen.
Zwei Dinge helfen: Laut Hinweis sorgen mindestens 50 private Würfe beim Einrichten für einen starken Seed. Ein sicheres Passwort schützt zusätzlich, genau diese Lücke besteht etwa, wenn auf dem Handy keine BIP39-Passphrase unterstützt wird.
Es gibt jedoch weiterhin keinen Test, den Sie zu Hause durchführen können. Block listet auch das ältere Modell Mk2 als riskant. In Coinkites Hinweis wird dies nicht erwähnt.
Die gestohlenen Coins wurden bisher nicht bewegt. Sie befinden sich in vier Wallets.
Galaxy sagt, dass weitere Zugriffe möglich sind, solange unsichere Seeds Geld enthalten. Block konnte den Täter zu einem bezahlten Datenkonto zurückverfolgen und leitete Hinweise an die Behörden weiter.
Obwohl es ein Rekordjahr für Krypto-Diebstähle ist, fällt dieses Ereignis besonders auf. Die sichere Aufbewahrung eines Schlüssels galt bisher als einfach.
