Coldcard-Seed-Generierungsfehler: Über 100 Millionen US-Dollar in BTC aus tausenden Wallets gestohlen

Der Bug bei der Seed-Generierung von Coldcard blieb jahrelang unbemerkt, obwohl Nutzer die öffentliche Firmware prüfen konnten. Spätere Recherchen führten das Problem auf eine Firmware-Änderung im März 2021 (v4.0.0) zurück: Dabei wurde bei der Erstellung der Seed-Phrase ein schwächerer Zufallszahlengenerator verwendet, statt der vorgesehenen dedizierten Hardware-Entropy-Quelle. Ermittler berichten von Diebstählen in Höhe von etwa 1.596–1.816 BTC (über 100 Mio. USD) aus rund 5.200–7.300 Adressen. Coinkite zufolge hatten einige betroffene Modelle eine geschätzte Entropie von ~72 Bit statt der beabsichtigten 128 Bit, wodurch sich der Suchraum für die Seeds drastisch verkleinerte. Das Security-Team von Block erklärt, dass der betroffene Zufallspfad keine sichere Zufälligkeit lieferte. Coinkite hat für die betroffenen Coldcard-Modelle eine korrigierte Firmware veröffentlicht, aber das Update „upgradet“ keine bestehenden Recovery-Phrasen. Betroffene Nutzer müssen das Patch installieren, eine komplett neue Seed erzeugen und die Gelder auf Adressen verschieben, die aus der korrigierten Seed abgeleitet werden. James O’Beirne machte das Zufallsproblem nach einem Audit im Mai 2025 ausfindig und verfolgte es bis auf libngu zurück. Für Trader unterstreicht der Fehler bei der Coldcard-Seed-Generierung das Gegenparteien-/Hersteller-Risiko bereits in der Schlüssel-Erzeugungsphase im Rahmen von Self-Custody. Das ist ein reputations- und operationsseitiger Rückschlag für das Vertrauen in Hardware-Wallets, aber das Ereignis wird die grundlegenden Fundamentals von BTC voraussichtlich nicht verschieben.