Ein bislang unveröffentlichter Schwachpunkt in der Firmware von Coldcard ermöglichte unbefugten Zugriff auf Kryptowährungswallets, wodurch mehr als 100 Millionen US-Dollar an Guthaben freigegeben wurden, wie Sicherheitsexperten berichteten. Der Fehler, der jahrelang nicht behoben wurde, rührt aus einem Programmierfehler im Wallets-Transaktionsprüfungsprozess, der Angreifern ermöglichte, Sicherheitsprüfungen zu umgehen und private Schlüssel zu extrahieren.
Coldcard, ein führender Anbieter von Hardware-Wallets für Bitcoin und andere Kryptowährungen, bestätigte den Fehler in einer Sicherheitsanweisung, die am Sonntag veröffentlicht wurde. Das Unternehmen stellte fest, dass der Fehler in Firmware-Versionen eingeführt wurde, die zwischen 2019 und 2023 veröffentlicht wurden, und dass etwa 50.000 Geräte weltweit betroffen waren. Obwohl der Schwachpunkt inzwischen in der neuesten Firmware-Update behoben wurde, bleiben Nutzer, die ihre Geräte nicht aktualisiert haben, weiterhin gefährdet.
Die Sicherheitsfirma Halborn, die den Fehler entdeckte, hob hervor, dass der Schwachpunkt aus einer Rassenbedingung in Coldcards-Code resultierte, die Angreifern ermöglichte, Transaktionsunterschriften zu interceptieren und zu manipulieren. Der Exploit erforderte physischen Zugriff auf das Gerät, was Bedenken hinsichtlich Lieferkettenschutzangriffe oder unbefugtem Zugriff während des Transports aufwirft. Halborn schätzte, dass etwa 1,2% der betroffenen Wallets – insgesamt etwa 100 Millionen US-Dollar an Kryptowährungen – bereits von unbekannten Akteuren geleert wurden.
Coldcard rief die Nutzer auf, ihre Firmware sofort auf Version 5.0.1 oder höher zu aktualisieren und ihre Wallet-Balances zu überprüfen. Das Unternehmen kündigte auch ein Rückzahlungsprogramm für betroffene Nutzer an, wobei der Umfang und die Eignungskriterien noch unter Beratung stehen. Der Vorfall unterstreicht die anhaltenden Sicherheitschancen im Kryptosektor, in dem Hardware-Wallets oft als Goldstandard für den Schutz von Vermögenswerten beworben werden.
Die Enthüllung kommt im Zusammenhang mit wachsender Kritik an der Sicherheit von Hardware-Wallets, bei denen in den letzten Jahren mehrere hochrangige Vorfälle die Schwächen selbst der renommiertesten Produkte hervorhoben. Coldcards Reaktion, einschließlich ihres Patches und der Rückzahlungsversuche, wird wahrscheinlich die Industriepraktiken für die Behandlung ähnlicher Schwächen in Zukunft prägen.
