Ledger: Coldcard-Exploit zeigt, dass sich Bitcoin-Wallet-Sicherheit an KI anpassen muss

Der Hardware-Wallet-Hersteller Ledger sagt, der jüngste Coldcard-Exploit sollte als Warnung für die Kryptowährungsbranche dienen.

Laut Ledger-CTO Charles Guillemet legte der Vorfall Schwachstellen offen, wie einige Geräte, in diesem Fall Hardware-Kryptowährungs-Wallets, kryptografische Zufälligkeit erzeugen, und zeigte gleichzeitig, wie künstliche Intelligenz sowohl Cyberangriffe als auch digitale Verteidigung neu gestaltet.

„Wir behandeln dies als ernste Erinnerung daran, dass das gesamte Sicherheitsmodell einer Hardware-Wallet von Zufälligkeit abhängt“, sagte Guillemet gegenüber Decrypt. „Kryptografie ist schwer, und sie sicher zu implementieren ist noch schwerer. Der Coldcard-Vorfall dieser Woche hat das auf die teuerste Art und Weise sichtbar gemacht.“

Die Kommentare kommen, während die Folgen des Coldcard-Exploits weiter zunehmen.

Letzte Woche offenbarte Coldcard-Hersteller Coinkite einen Fehler in der luftspaltigen Coldcard-Bitcoin-Hardware-Wallet, der auf einen Firmware-Build vom März 2021 zurückgeht. Der Fehler verwendete einen Software-Fallback anstelle des Hardware-Zufallszahlengenerators des Geräts, um Wallet-Wiederherstellungs-Seeds zu erstellen, wodurch einige private Schlüssel erratbar wurden und Diebe Bitcoin der Benutzer stehlen konnten.

Bisher haben die Verluste ungefähr 130 Millionen Dollar erreicht, während andere Diebstähle noch untersucht werden. Am Sonntag veröffentlichte Coinkite gepatchte Firmware und forderte betroffene Benutzer auf, Gelder auf neu generierte Wallets zu verschieben.

Coinkite reagierte nicht auf die Bitte von Decrypt um einen Kommentar zu dieser Geschichte.

Ledger sagte, die eigenen Hardware-Wallets seien nicht betroffen, da sie Wiederherstellungsphrasen anders erzeugen.

„Ledger-Hardware-Wallets beziehen ihr Wurzelgeheimnis (die 24-Wörter-Geheimwiederherstellungsphrase) aus einem echten Hardware-Zufallszahlengenerator, der direkt in ein zertifiziertes Secure Element eingebaut ist, ohne Software-Fallback-Pfad“, sagte Guillemet. „Dieser Generator erzeugt die vollen 256 Bit Entropie für jeden Seed.“

Für Ledger wirft der Vorfall breitere Fragen auf, wie die Sicherheit von Hardware-Wallets bewertet wird.

„Open Source und überprüft sind nicht dasselbe“, sagte Guillemet. „Dieser Fehler lag mehr als fünf Jahre lang in öffentlichem Code, bis Berichten zufolge ein Gegner KI nutzte, um ihn zu finden – eine Erinnerung daran, dass offen und überprüft zwei verschiedene Dinge sind.“

Er sagte, KI verändere die Cybersicherheit, indem sie Angreifern ermögliche, Code zu scannen, nach Konfigurationsfehlern zu suchen und Schwachstellen „mit Maschinengeschwindigkeit“ zu identifizieren.

„Das bedeutet, dass sich die Verteidigung mit derselben Geschwindigkeit bewegen muss“, sagte er. „Sie muss aus Sicherheit durch Design, Hardware und Mathematik kommen.“

Im Mai entdeckte ein Sicherheitsforscher mit Claude Opus 4.8 eine vier Jahre alte Schwachstelle, die das unbegrenzte Prägen von Zcash hätte ermöglichen können, was zu groß angelegter Panik bei Anlegern führte und Zcash an einem einzigen Tag um mehr als 40 % fallen ließ.

Laut Guillemet hat Ledger in den letzten zwei Jahren KI zusammen mit menschlichen Sicherheitsingenieuren und Kryptographen eingesetzt, um Code zu überprüfen und Schwachstellen zu identifizieren, bevor Angreifer sie ausnutzen können.

„Wir verlassen uns auch nicht nur auf unser eigenes Wort“, erklärte er. „Unser Forschungslabor Donjon existiert, um zu versuchen, unsere Produkte zu brechen, bevor es jemand anderes tut.“

Um zukünftige Risiken zu mindern, sagte Guillemet, dass Benutzer, die eine Hardware-Wallet bewerten, verstehen sollten, wie sie Zufälligkeit erzeugt und ob dieser Prozess unabhängig zertifiziert wurde.

„Zufälligkeit muss aus der Physik kommen, nicht aus einer Formel“, sagte er. „Sie muss von Menschen zertifiziert werden, deren Aufgabe es ist, diese Behauptung zu widerlegen, nicht nur vom Anbieter behauptet werden.“