Der Hardware-Wallet-Hersteller Coinkite steckt in einer schweren Krise, nachdem eine kritische Sicherheitslücke bei der Generierung privater Schlüssel in seinen Coldcard-Geräten entdeckt wurde. Eine technische Schwachstelle, die seit März 2021 bestand, ermöglichte es Angreifern, eine mangelhafte Software-Entropie auszunutzen und Bitcoin im Wert von über 114 Millionen Dollar zu entwenden. Der Defekt resultierte aus einem Integrationsfehler, bei dem das System einen weniger robusten Software-Generator gegenüber dem sicheren Hardware-Generator bevorzugte, was die Schlüssel potenziell vorhersehbar machte.
Als Reaktion auf diese Situation hat das Unternehmen neue Firmwares für seine Modelle Mk4, Mk5 und Q veröffentlicht, um seine Sicherheitsmechanismen grundlegend zu stärken. Der Prozess der Seed-Erstellung erfordert nun zwingend eine physische Entropiequelle, wie etwa das Würfeln oder zufällige Tasteneingaben, die zusätzlich durch einen SHA-256-Hashing-Algorithmus ergänzt wird. Diese Maßnahmen sollen jede ausschließliche Abhängigkeit von Software-Generatoren eliminieren und sicherstellen, dass jeder neue private Schlüssel ein unvorhersehbares und mathematisch fundiertes Maß an Zufälligkeit aufweist.
Um die Integrität seiner Software zu prüfen, hat Coinkite KI-gestützte Werkzeuge integriert, die den Quellcode systematisch auf Anomalien scannen. Dieser Ansatz ermöglichte es, periphere Schwachstellen im Zusammenhang mit der USB-Datenverwaltung, Transaktionssignaturen und der Validierung von Updates zu identifizieren und zu beheben. Obwohl der Einsatz von KI den Willen zur Modernisierung der Kontrollverfahren unterstreicht, betont der Hersteller, dass diese Korrekturen keine umfassende Sicherheitsüberprüfung ersetzen und keinesfalls Bedrohungen für bereits kompromittierte Gelder neutralisieren können.
Für Nutzer bleibt die entscheidende Herausforderung die Unterscheidung zwischen zukünftigem Schutz und aktueller Sicherheit. Obwohl die neuen Firmwares die identifizierten Lücken schließen, haben sie keine rückwirkende Wirkung auf Wallets, die vor Juli 2024 erstellt wurden. Daher werden Coldcard-Besitzer, deren Seed auf anfälligen Softwareversionen generiert wurde, dringend dazu aufgefordert, einen neuen Seed zu erstellen und ihre gesamten Bestände auf diese sicheren Adressen zu übertragen. Jede andere Maßnahme wäre angesichts des bereits bestätigten Kompromittierungsrisikos unzureichend.