Der sicherste Weg, Bitcoin zu halten, hat nun 116 Millionen Dollar verloren, und es steigt weiter

Hardware-Wallets gelten als Goldstandard der Krypto-Sicherheit, Coins offline auf einem kleinen Gerät gehalten, wo Online-Hacker nicht herankommen. Ein Fehler im weit verbreiteten Coldcard-Wallet zerschlug diese Annahme. Was Ende Juli als 38-Millionen-Dollar-Zugriff begann, kletterte über vier Angriffswellen auf rund 116 Millionen Dollar an Bitcoin, entwendet aus über 5.200 Wallets, und Forscher warnen, dass der Diebstahl noch läuft.

Die Ursache war ein lange verborgener Software-Fehler. Eine Firmware-Änderung im Jahr 2021 schwächte still die Zufälligkeit, die das Gerät zum Erzeugen der geheimen Schlüssel eines Wallets nutzte, und ließ sie weit vorhersehbarer, als die Besitzer glaubten, sodass ein Angreifer die Schlüssel irgendwann reproduzieren und die Gelder abräumen konnte. Das Gerät sah die ganze Zeit sicher aus. Die Schwäche war für jene, die sich darauf verließen, unsichtbar.

Der Hersteller versucht einzudämmen. Coldcards Hersteller bestätigte die Schwachstelle, stoppte Auslieferungen und vernichtete verbliebene Geräte mit der betroffenen Firmware, während Forscher jeden, der noch Ein-Schlüssel-Gelder auf einem der Geräte hält, drängen, seine Coins sofort zu bewegen. Ein Rückruf kann den Diebstahl nicht rückgängig machen. Er kann nur den nächsten stoppen.

Die Ironie sitzt tief. Selbstverwahrung, die eigenen Schlüssel zu halten statt einer Börse zu vertrauen, ist das Kernversprechen von Bitcoin, und Hardware-Wallets sind, wie vorsichtige Menschen es praktizieren, ein Exploit, der genau die sicherheitsbewusstesten Halter bestraft, trifft also die zentrale Idee der Bewegung. Die Leute, die alles richtig machten, waren die Ausgesetzten. Das macht dies beängstigend.

Die Reaktion sagt viel über Vertrauen. Nach dem FTX-Kollaps flohen Anleger von den Börsen in die Selbstverwahrung, und nun tun manche das Gegenteil und schicken Coins zurück auf Börsen, weil ein vertrautes Gerät sie im Stich ließ, was zeigt, wie schnell das Vertrauen von einem Sicherheitsmodell zum anderen schwingen kann. Es gibt keinen risikofreien Weg, diesen Wert zu halten. Jede Option verschiebt die Gefahr nur woandershin.

Das als Bitcoins sicherstes Versteck vermarktete Gerät wurde also für Tausende Besitzer der Grund, dass ihre Coins weg sind, und die Bilanz klettert weiter. Mehr als 116 Millionen entwendet, 5.200 Wallets getroffen, vier Wellen und mehr. Selbstverwahrung sollte heißen, dass niemand deine Coins anfassen kann. Es zeigt sich, dass das Wallet trotzdem richtig gebaut sein musste.