Coldcard stärkt Seed-Generierung mit Firmware-Update

Coinkite veröffentlichte ein Sicherheitsupdate, das die Seed-Generierung verbessern soll. Dabei wird vom Nutzer bereitgestellte Entropie mit einer verbesserten Zufallsfunktion des Geräts kombiniert.

Coinkite kündigte in einem 5.6.1 4 5 1.5.1Q Blogbeitragam Donnerstag die Firmware für die Coldcard-Geräte Mk und Mk sowie Version Q für die Coldcard Q an.

Das Update schreibt vor, dass neu generierte Seeds vom Nutzer bereitgestellte Entropie enthalten. Dafür sind mindestens 65 Tastenanschläge mit unvorhersehbarem Timing, 50 Würfe eines sechsseitigen Würfels oder 128 Münzwürfe erforderlich. Diese Eingabe wird mit Zufallsdaten aus mehreren Gerätequellen kombiniert, darunter sichere Elemente und der Hardware-Zufallszahlengenerator (RNG).

Die kombinierte Zufälligkeit dient zur Erstellung der Seed-Phrase der Wallet. Dadurch sollen die privaten Schlüssel auch dann unvorhersehbar bleiben, wenn eine der Entropiequellen des Geräts ausfällt.

Coinkite forderte die Nutzer zur umgehenden Aktualisierung auf. Bestehende Seed-Phrasen blieben auch nach dem Upgrade anfällig und müssten durch neue Seeds ersetzt werden, bevor Guthaben migriert würden. 

Bestätigte Verluste durch den Coldcard-Exploit beliefen sich laut einem am 14. August veröffentlichten 1.778 112 Bericht von Galaxy Research. This makes the Coldcard hack the third-largest cryptocurrency exploit of 2026, according to data aggregierten Daten war der Coldcard-Hack damit der drittgrößte Kryptowährungs-Exploit des Jahres .

Coldcard ergänzt Schutzmaßnahmen für Transaktionen und USB

Das Firmware-Update des Unternehmens vom 31. Juli hatte den Fehler bei der Seed-Generierung für neu erstellte Wallets bereits behoben. Die Veröffentlichung vom Donnerstag folgte auf eine dreiwöchige umfassende Sicherheitsüberprüfung und ergänzt Schutzmaßnahmen für den Umgang mit USB-Daten, das Signieren von Transaktionen und die Hardware-Zufälligkeit.

Coinkite erklärte, das Update wehre einen theoretischen Angriff über einen manipulierten USB-Anschluss des Computers ab, indem Transaktionen unmittelbar vor dem Signieren erneut verifiziert würden. Die Firmware führt außerdem zusätzliche Prüfungen des Hardware-RNG sowie einen Test beim Systemstart ein. Damit soll überprüft werden, ob die Wallet den vorgesehenen Hardwarepfad verwendet.

Verwandt: Cybersicherheitsunternehmen enthüllt Krypto-Phishing-Kampagne, die auf 885.000 Telefonnummern abzielt

Weitere Änderungen beschränken USB-Downloads auf die letzte Ausgabe des Geräts und erfordern eine verschlüsselte Sitzung. Bestimmte Bitcoin-Signatur-Hash-Modi, die eine nachträgliche Änderung von Transaktionsausgaben ermöglichen, sind nun standardmäßig blockiert.

Coinspect startet Tool zur Erkennung schwacher Seeds

Auch andere Unternehmen entwickeln Software, um Wallets zu identifizieren, die möglicherweise durch eine schwache Seed-Generierung gefährdet sind.

Das Blockchain-Sicherheitsunternehmen Coinspect stellte Unlukey vor, ein kostenloses öffentliches Tool zur Identifizierung von Wallet-Adressen, die aus schwachen Seed-Phrasen generiert wurden. Die erste Version des Tools soll bekannte schwache Seed-Generierungen reproduzieren und prüfen, ob öffentliche Adressen zu dem betroffenen Datensatz gehören, erklärte Coinspect in einem am Freitag auf X veröffentlichten Beitrag.

Die Generierung schwacher Seed-Phrasen war eine der Hauptschwachstellen, die zum Coldcard-Exploit führten. TRM Labs erklärte , dass ein Firmware-Fehler aus dem März 2021 die Seed-Zufälligkeit bei einigen Coldcard-Wallets schwächte, die Schlüssellänge von 128 auf 40 Bit reduzierte und sie „ohne physischen Zugriff per Brute-Force angreifbar“ machte. 

Magazin: Einblicke in den „falschen Polizeieinsatz“, der eine Bitcoin-Überweisung von 1000000 Million US-Dollar erzwang