Was ist passiert?
Es handelt sich nicht um eine Schwachstelle in bitcoin selbst, sondern um die Art, wie manche COLDCARD-Wallets ihre seed phrase erzeugt haben. Inzwischen wurden Hunderte Wallets geleert, und Coinkite bestätigt, dass die Schwachstelle tatsächlich ausgenutzt wurde.
Wann bist du gefährdet?
Nach aktuellem Stand bist du möglicherweise gefährdet, wenn:
- du eine single-signature COLDCARD Mk3 nutzt;
- die Wallet zwischen 2021 und 2023 erstellt wurde;
- du keine passphrase verwendest;
- du beim Erzeugen der Seed keine dice rolls verwendet hast.
Nutzt du eine passphrase oder hast du die Seed mit ausreichend dice rolls erzeugt? Dann erscheint das Risiko deutlich geringer.
Was ist genau schiefgelaufen?
Eine seed phrase bildet die Grundlage der Sicherheit deiner Wallet. Sie muss vollständig zufällig erzeugt werden, damit niemand denselben Schlüssel rekonstruieren kann.
Durch einen Firmware-Fehler nutzte COLDCARD seit März 2021 in bestimmten Fällen eine viel schwächere Zufallsquelle als vorgesehen. Dadurch entstand eine viel kleinere Menge möglicher private keys, sodass ein Angreifer diese mit genügend Rechenleistung ermitteln konnte.
Für die meisten Nutzer ist vor allem das wichtig: Wenn deine Wallet unter die betroffene Situation fällt, reicht ein Firmware-Update allein nicht aus. Die Seed selbst bleibt angreifbar.
Wichtig: Ein Firmware-Update allein behebt das nicht. Fällt deine Wallet unter die betroffene Situation, bleibt deine Seed angreifbar, bis du deine coins auf eine neue seed phrase überträgst.
Was musst du tun?
Erkennst du deine Situation oben wieder? Dann raten mehrere Sicherheitsforscher, so schnell wie möglich zu handeln.
- Erstelle eine neue Wallet mit einer völlig neuen seed phrase.
- Prüfe zuerst mit einem kleinen Testbetrag, ob alles korrekt funktioniert.
- Übertrage danach dein gesamtes bitcoin-Guthaben auf die neue Wallet.
- Verwende die alte seed phrase danach nicht mehr.