COLDCARD-Schwachstelle: Für Bitcoin-Diebstahl von 88 Millionen Dollar verantwortlich?

Eine Schwachstelle in der Firmware der Hardware-Wallet COLDCARD steht mutmaßlich hinter dem Diebstahl von umgerechnet rund 88,6 Millionen US-Dollar in Bitcoin.

Nach Angaben des auf digitale Vermögenswerte spezialisierten Analyseunternehmens Galaxy Research entdeckten die Angreifer am 30. Juli innerhalb von nur 41 Minuten rund 1.083 Bitcoin im Wert von damals 70,2 Millionen US-Dollar von 1.196 Adressen ab, etwa 30 Stunden bevor der Hersteller Coinkite die Schwachstelle öffentlich machte. Sämtliche Transaktionen nutzten dabei eine identische, fest programmierte Gebühr von 30 Satoshi pro virtuellem Byte, ein 30- bis 75-facher Aufschlag gegenüber dem damaligen Marktdurchschnitt, und hinterließen keinerlei Wechselgeld-Ausgabe, was Galaxy Research als Hinweis auf ein automatisiertes Werkzeug wertet, das bereits im Besitz befindliche Schlüssel systematisch ausgab.

Am 1. und 2. August identifizierte Galaxy Research zwei weitere Angriffswellen, darunter eine dritte mit zusätzlichen 207,7 abgeschöpften Bitcoin. Insgesamt beziffert das Unternehmen den bislang beobachteten Schaden auf rund 1.367 Bitcoin im Wert von etwa 88,6 Millionen US-Dollar, verteilt auf 4.585 Adressen. Das Analyseunternehmen Chainalysis stellte zudem fest, dass die Angreifer gezielt besonders werthaltige Wallets zuerst leerten, allein in den ersten zehn Minuten rund 30 Millionen US-Dollar, was auf eine vorherige gezielte Auswahl der betroffenen Adressen hindeutet. Die gestohlenen Bitcoin, die im Schnitt zuvor rund 3,18 Jahre unbewegt geblieben waren, verblieben nach bisherigem Kenntnisstand vollständig auf den Adressen der Angreifer.

Fehler in der Zufallszahlengenerierung

Nach der Entdeckung erster Diebstähle analysierten Sicherheitsteams des Unternehmens Block gemeinsam mit weiteren Forschern die Firmware der Geräte und meldeten ihre Erkenntnisse am 30. Juli an Coinkite. Ursache ist demnach ein bereits auf ein Firmware-Update vom März 2021 zurückgehender Integrationsfehler, durch den die Zufallszahlenfunktion des Geräts nicht den eigentlich vorhandenen Hardware-Zufallszahlengenerator des Chips nutzte, sondern auf einen deterministischen Software-Fallback von MicroPython zurückgriff.

Dieser stützte sich auf die Mikrocontroller-Kennung sowie Zeitmesswerte des Geräts, die laut Block nicht kryptografisch sicher und unter Umständen beobachtbar oder rekonstruierbar sind. Damit ließen sich mögliche Wallet-Seeds bereits offline vorab berechnen, die zugehörigen Bitcoin-Adressen ableiten und mit tatsächlich auf der Blockchain sichtbaren Adressen abgleichen, um passende Treffer zu identifizieren.

Betroffene Versionen und empfohlene Migration

Laut einer Sicherheitsmitteilung von Coinkite sind Seeds betroffen, die auf Mk2- und Mk3-Geräten mit den Firmware-Versionen 4.0.1 bis 4.1.9, auf Mk4- und Mk5-Geräten vor Version 5.6.0 beziehungsweise der Edge-Version 6.6.0X sowie auf Q-Geräten vor Version 1.5.0Q oder Edge-Version 6.6.0QX erzeugt wurden. Aktualisierte Firmware-Versionen beheben den zugrunde liegenden Fehler zwar für künftig erzeugte Seeds, bereits zuvor erzeugte Seeds werden dadurch jedoch nicht nachträglich repariert. Betroffenen Nutzern rät Coinkite, ihr bestehendes Backup zu prüfen, die korrigierte Firmware zu installieren, einen neuen Seed zu erzeugen und sicher zu notieren, die neue Wallet-Adresse auf dem Gerät zu verifizieren, zunächst eine kleine Testtransaktion durchzuführen und erst danach die verbleibenden Guthaben zu übertragen. Das alte Backup sollte bis zum vollständigen und bestätigten Abschluss der Migration aufbewahrt werden.

Seeds, die zusätzlich mit mindestens 50 fairen, unabhängigen und privat ausgeführten Würfelwürfen ergänzt wurden, gelten laut Coinkite durch diese Schwachstelle allein nicht als gefährdet. Auch eine starke, einzigartige BIP-39-Passphrase erschwert eine Ausnutzung zusätzlich, ersetzt die empfohlene Migration jedoch nicht. Die Produkte Tapsigner, Opendime und Satscard von Coinkite sind nach Unternehmensangaben nicht betroffen, da sie auf einer anderen Codebasis beruhen. Bereits versandbereite, aber noch nicht ausgelieferte Geräte mit der fehlerhaften Firmware wurden nach Angaben von Coinkite vernichtet, bereits ausgelieferte Geräte per E-Mail über die Sicherheitsmitteilung informiert.

(red)