Coinkite hat Firmware-Updates für seine Hardwaretaschen Coldcard veröffentlicht, um Schwachstellen bei der Erzeugung von Seed-Phrasen zu beseitigen, die durch eine $112-Millionen-Beugung im August aufgedeckt wurden.
Der Upgrade, Version 5.6.1 für Coldcard Mk4- und Mk5-Geräte sowie Version 1.5.1Q für die Coldcard Q, verpflichtet, dass neue Seed-Phenomene neben von einem Benutzer bereitgestellter Entropie auch zufällige Zahlen von den Geräten selbst enthalten. Benutzer müssen mindestens 65 Tastendrucke, 50 Töpfen oder 128 Münztekts gewesen, die dann mit zufälligen Werten aus den sicheren Elementen und dem Hardware-RNG zusammengestellt werden. Die zusammengestandene Entropie wird zur Erstellung der Wallet-Signale verwendet, wodurch gewährleistet wird, dass private Schlüssel auch dann nicht vorhersehbar sind, wenn eine Quelle der Entropie ausfällt.
Coinkite rief zu einer sofortigen Aktualisierung auf, da die vorhandenen Seed-Phrasen weiterhin anfällig sind und vor dem Migrieren von Geldern ersetzt werden müssen. Der Exploit, der in einem Bericht von Galaxy Research vom 14. August veröffentlicht wurde, führte zu bestätigten Verlusten von 1.778 Bitcoin (BTC) und ist damit nach Angaben von DefiLlama der dritte größte Kryptowährungs-Hack im Jahr 2026.
Die Firmwareaktualisierung vom 31. Juli hatte bereits Fehler bei der Seed-Generierung für neu erstellte Wallets behoben. Die neueste Version schließt dreiwöchige Sicherheitsprüfungen ab und führt zusätzliche Sicherheitsmaßnahmen ein, einschließlich der Schutzmaßnahmen bei Transaktionen und USB-Anschlüssen. Ein angreiferisch benutzter USB-Anschluss wird abgeschwächt, indem Transaktionen unmittelbar vor der Unterzeichnung erneut verifiziert werden. Die Firmware enthält auch Hardware-SCR-Überprüfungen, einen Bootzeit-Test zur Bestätigung korrekter hardwarebezogener Pfadverwendung sowie Einschränkungen für USB-Downloads auf die jüngste Ausgabe des Geräts und verschlüsselte Sitzungen.
Die Standardeinstellungen blockieren jetzt bestimmte Bitcoin-Signatur-Hash-Modi, die es ermöglichen, Transaktionsausgaben weiterhin zu ändern.
Parallel dazu hat die Blockchain-Sicherheitsfirma Coinspect Unlukey eingeführt, ein kostenloses Tool zur Erkennung von Münzwallets, die aus schwachen Seed-Phrasen generiert wurden. Das Tool prüft die öffentlichen Adressen gegen einen Datensatz mit bekannten schwachen Seed-Phasen, wobei die erste Version auf die Seed-Generationsfehler abzielt, die mit dem Coldcard-Exploit verbunden sind. Ein Firmware-Bug aus dem März 2021 hatte die Schlüssellänge von 128 Bit auf 40 Bit in einigen Münzwallets reduziert, wodurch sie gegen brute-force-Angriffe ohne physischen Zugriff anfällig wurden, so TRM Labs.
