Coldcard-RNG-Schwachstelle: Coinkite legt fünfjährigen Entropiefehler nach massenhaftem Bitcoin-Diebstahl offen

Was Coinkite offengelegt hat

Coinkite bestätigte, dass eine Firmware-Migration im März 2021 einen Integrationsfehler einführte, bei dem ngu.random auf MicroPythons deterministischen Yasmarang-Generator zurückfiel statt auf den STM32-Hardware-RNG des Geräts. Unter den betroffenen Builds erzeugte Seeds schöpften daher aus deutlich weniger Entropie als vorgesehen — rund 72 Bit gegenüber einem Zielwert von 128.

Dieser Unterschied ist bedeutsam. 128 Bit Entropie sind nicht durchsuchbar. 72 Bit sind für einen gut ausgestatteten Angreifer mit einer konkreten, aufzählbaren Zielmenge eine gänzlich andere Angelegenheit.

Der Sweep

Die Berichterstattung über das Ausmaß des Diebstahls unterscheidet sich je nach Medium und je nach Zeitpunkt der Zählung, und Conisec berichtet diese Abweichung, statt sich eine Zahl auszusuchen. CoinDesk meldete am 31. Juli einen Sweep von 594 BTC innerhalb von 25 Minuten. The Hacker News berichtete von rund 70 Mio. US-Dollar, die in einem Zeitfenster von 41 Minuten abflossen. Crypto Briefing bezifferte den Wert auf rund 1.367 BTC — nahezu 89 Mio. US-Dollar — über 4.585 Adressen in mehreren Wellen ab dem 30. Juli. Fortune meldete anschließend insgesamt 116 Mio. US-Dollar.

Diese Angaben sind weniger widersprüchlich als kumulativ: Die Zählungen wurden zu verschiedenen Zeitpunkten eines laufenden Sweeps vorgenommen. Wir werden diesen Eintrag aktualisieren, sobald die Betroffenen bestätigte Gesamtsummen veröffentlichen.

Das Problem der zeitlichen Abfolge

Das unbequemste Detail ist die Abfolge. Berichten zufolge ereignete sich ein erheblicher Teil des Diebstahls am 30. Juli — am selben Tag wie der Patch und Stunden bevor die Warnmeldung die meisten Nutzenden erreichte. Wer auch immer die Schwachstelle ausnutzte, verstand sie, bevor die Offenlegung eintraf.

Das ist die immerwährende Spannung der koordinierten Offenlegung: Ein Patch ist selbst ein Signal, und bei einem Defekt, der bereits bestehende Schlüssel betrifft, schützt Patchen niemanden rückwirkend. Neue Firmware repariert die Seed-Erzeugung für die Zukunft. Sie kann einem 2022 erstellten Seed keine Entropie hinzufügen.

Was Conisec Ihnen nicht zu tun raten wird

Coinkite hat betroffenen Nutzenden geraten, Guthaben auf neu erzeugte Seeds zu migrieren, sofern deren Entropie nicht unabhängig ergänzt wurde oder eine starke BIP-39-Passphrase im Einsatz war. Das ist Coinkites Anweisung an die eigene Kundschaft, und wir geben sie als solche wieder. Conisec fordert Lesende nicht auf, Guthaben zu bewegen — wir verlinken die Warnmeldung des Herstellers und lassen dessen eigene Anweisungen für sich stehen. Warum, steht in unseren redaktionellen Leitlinien.

Wir werden außerdem keine „Checker“-, „Migrations“- oder „Wiederherstellungs“-Werkzeuge Dritter verlinken. Nach einer Offenlegung dieser Größenordnung tauchen solche Angebote binnen Stunden auf, ranken gut und sind der zweite Angriff. Erreichen Sie Coinkite über einen Kanal, den Sie bereits hatten.

Warum dieser Fall anders liegt

Die meisten Hardware-Wallet-Vorfälle in unserem Tracker beruhen darauf, dass Nutzende etwas freigeben, das sie nicht verstanden haben — die Kompromittierung des Ledger Connect Kit ist der klarste Fall. Das Gerät verhielt sich korrekt; der Mensch wurde getäuscht.

Hier verhielt sich das Gerät nicht korrekt. Das Einzige, wofür eine Hardware-Wallet existiert — die Garantie, dass Ihr Schlüssel unerratbar erzeugt wurde, im Inneren des Geräts, außerhalb der Reichweite von Software —, traf nicht zu, und fünf Jahre lang wusste es niemand. Es ist ein Versagen der Lieferkette im buchstäblichsten Sinne: Der Ausweichpfad einer Abhängigkeit ersetzte stillschweigend eine Hardware-Garantie.