Grossdiebstahl von Bitcoin, der Mythos der Offline-Wallet wankt

Ein Angriff auf die Hardware-Wallets Coldcard des kanadischen Unternehmens Coinkite hat rund 1600 Bitcoin von etwas mehr als 7300 Adressen entwendet. Der Wert übersteigt hundert Millionen Dollar, und es handelt sich um einen der schwerwiegendsten je verzeichneten Vorfälle bei der eigenverantwortlichen Verwahrung von Kryptowährungen.

Die Täterschaft nutzte eine fünf Jahre alte Schwachstelle im Verfahren zur Erzeugung der Sicherheitsschlüssel.

Der Schlag trifft jenen Teil der Branche, der als der solideste galt. Sogenannte Cold-Geräte bewahren die privaten Schlüssel ausserhalb des Netzes auf, ohne Internetverbindung, und galten deshalb als zuverlässigste Lösung gegenüber dauernd verbundenen Wallets oder Handelsplattformen.

Das Protokoll spielt keine Rolle

Dominic Weibel, Forschungsleiter bei Bitcoin Suisse mit Sitz in Zug, erklärte der Agentur AWP, die kalte Verwahrung sei lange als eine Art Allheilmittel betrachtet worden, besonders nachdem der Zusammenbruch von FTX die Gegenparteirisiken der zentralen Verwahrung deutlich gemacht hatte.

Der Angriff betraf allerdings nicht das Bitcoin-Protokoll. Er nutzte einen bestimmten Fehler bei der Erstellung der Wiederherstellungsphrasen für einige Firmware-Versionen. Das System verwendete zu wenig Zufälligkeit, was die Rekonstruktion der zugrunde liegenden Schlüssel erlaubte, ohne physischen Zugriff auf die Geräte und ohne psychologische Manipulation.

Nach Weibel ist eine Hardware-Wallet nur so sicher wie ihre Firmware, die Schlüsselerzeugung und die dahinterliegenden Prozesse. Es gebe keine Hinweise, dass dieselbe Schwäche bei anderen Herstellern bestehe, doch der Forscher warnt davor, den Vorfall als Randerscheinung abzutun.

Die unmittelbare Wirkung ist psychologischer Natur. Der Fall kann das Vertrauen in die eigenverantwortliche Verwahrung eine Zeit lang erschüttern, macht die Geräte aber grundsätzlich nicht überflüssig.

Keine Verwahrungslösung ist völlig risikofrei, und darin unterscheidet sich Bitcoin nicht von anderen Anlageklassen. Die solideste Strategie kombiniert laut Weibel eigenverantwortliche Verwahrung, professionell geführte Verwahrung und mehrere voneinander unabhängige Absicherungen.

Der abschliessende Hinweis betrifft die Zukunft. Auf künstlicher Intelligenz beruhende Werkzeuge machen die Suche nach Schwachstellen deutlich schneller und günstiger, was den Vorteil zu jenen verschiebt, die Fehler suchen, statt zu jenen, die sie beheben.