70 Millionen Dollar in 40 Minuten verschwunden: CZ äußert sich zum Coldcard-Vorfall

Changpeng Zhao (CZ) hat eine Warnung für Bitcoin-Inhaber. Hardware-Wallets können ebenfalls ausfallen. Er sprach Tage nach einem Coldcard-Firmware-Fehler, der Dieben ermöglichte, private Schlüssel zu ermitteln und 70 Millionen Dollar zu stehlen.

Forscher von Galaxy und Block verfolgten den Diebstahl. Angreifer leerten 1.196 Wallets in 41 Minuten am 30. Juli. Niemand berührte ein einziges Gerät.

CZ weist auf die Grenzen der Cold Storage hin

CZ, der Gründer und ehemalige CEO der Binance-Börse, sagt, dass eine Wallet alt, vertrauenswürdig und trotzdem defekt sein kann.

Als er postete, lagen die ersten Berichte über den Verlust bei 38 Millionen Dollar. Die tatsächliche Zahl stellte sich als fast doppelt so hoch heraus.

„Selbst Hardware-Wallets können Bugs haben. Selbst alte Wallets (mit langer Geschichte) können Bugs haben. Wie kann man das mindern? Vielleicht Ihre Gelder auf mehrere Wallets aufteilen? Das birgt ein anderes Risiko. Nichts ist 100%. Bleiben Sie informiert. Bleiben Sie SAFU!“, schrieb CZ.

Folgen Sie uns auf X, um die neuesten Nachrichten in Echtzeit zu erhalten

Sein Rat war, Coins auf mehrere Wallets zu verteilen. Er gab auch zu, dass dies eigene neue Risiken mit sich bringt.

CZ war in letzter Zeit offen über Fehleinschätzungen, die er gemacht hat. Eine davon war der Stablecoin-Markt, den er abtat, der jetzt über 300 Milliarden Dollar wert ist.

Wie der Coldcard-Firmware-Fehler Seeds erratbar machte

Jede Wallet beginnt mit einer riesigen geheimen Zahl. Sie wird Seed genannt. Jeder Schlüssel und jede Adresse wächst daraus. Diese Zahl muss zufällig sein. Coldcard verwendete einen speziellen Chip, um sie zufällig zu machen.

Dann kam im März 2021 ein Programmierfehler. Der Job wurde stillschweigend an ein schwaches Backup übergeben. Dieses Backup stützte sich auf die Geräte-Seriennummer und seine Uhr. Beides kann ermittelt werden.

Die Zahl hörte auf, riesig zu sein. Die Ingenieure von Block schätzten die Auswahlmöglichkeiten auf etwa vier Milliarden bei neueren Modellen. Ein Computer kann das durchrechnen.

Die Diebe bauten einfach die Seeds selbst. Sie verwandelten jeden einzelnen in Adressen. Dann scannen sie die öffentliche Blockchain nach finanzierten Übereinstimmungen.

Galaxy kartierte die Sweeps. Jeder einzelne zahlte die exakt gleiche Gebühr, weit über dem Normalwert. Keiner ließ Wechselgeld zurück. Das ist Software, nicht eine Person.

„Das gesamte Ereignis erstreckt sich über sechs Blöcke und 41 Minuten. Drei dazwischenliegende Blöcke enthalten überhaupt keine Sweep-Aktivität, was darauf hindeutet, dass die Transaktionen in Chargen und nicht gestreamt übertragen wurden“, gaben die Galaxy-Forscher an.

Besitzer können ihre eigenen Seeds immer noch nicht testen.

Coinkite hat für jedes Modell eine korrigierte Firmware ausgeliefert. Ein Update kann einen bereits existierenden Seed nicht reparieren.

Wenn deiner exponiert ist, benötigst du einen neuen Seed und eine neue Wallet. Die frühere Berichterstattung von BeInCrypto über den Diebstahl von Coldcard beschreibt die Schritte.

Zwei Dinge helfen. Die Beratung besagt, dass 50 oder mehr private Würfe bei der Einrichtung einen Seed stark halten. Ein gutes Passwort fügt eine weitere Barriere hinzu, die gleiche Lücke, die aufgrund fehlender BIP39-Passwortunterstützung auf Handys gekennzeichnet wurde.

Es gibt immer noch keinen Test, den du zu Hause durchführen kannst. Block listet auch das ältere Mk2 als gefährdet. Die Beratung von Coinkite nennt es nicht.

Die gestohlenen Münzen haben sich nicht bewegt. Sie liegen in vier Wallets.

Galaxy sagt, dass weitere Sweeps möglich sind, solange schwache Seeds Geld halten. Block hat den Dieb über ein bezahltes Datenkonto zurückverfolgt und seine Erkenntnisse den Behörden übergeben.

Während es ein Rekordjahr für Krypto-Verletzungen war, sticht diese dennoch hervor. Einen Schlüssel sicher zu speichern, sollte der einfache Teil sein.

Quelle: BeInCrypto