Cyberkriminelle stehlen über 130 Millionen Dollar in Kryptowährungen durch Schwachstelle in Offline-Wallets

Nach Angaben von Experten und Blockchain-Sicherheitsunternehmen wurden in letzter Zeit massive Kryptowährungsdiebstähle aus einer der bislang als sichersten geltenden Offline-Hardware-Wallets festgestellt. Hacker nutzten eine Sicherheitslücke in den von Coinkite hergestellten Coldcard-Geräten aus und konnten digitale Vermögenswerte im Wert von mindestens 130 Millionen Dollar stehlen. Der Vorfall hat in der Welt der Cybersicherheit für großes Aufsehen gesorgt, da Offline-Wallets seit Langem als zuverlässigste Methode zur Aufbewahrung von Krypto-Assets gelten. TechCrunch.com berichtet darüber.

Nach Angaben des Forschungsunternehmens Galaxy Research könnten hinter dem digitalen Raubzug mehrere unabhängige Cybergruppen statt nur einer einzigen Gruppe stehen; ihre Identitäten sind bislang unbekannt. Tom Robinson, Mitbegründer des auf Kryptowährungen spezialisierten Analyseunternehmens Elliptic, bestätigte gegenüber TechCrunch, dass sich der Gesamtwert der gestohlenen Gelder auf etwa 130 Millionen Dollar beläuft. TRM Labs zufolge wurden seit Beginn dieses Jahres mehr als 200 Hackerangriffe auf Kryptowährungsunternehmen verübt; der Gesamtschaden übersteigt 950 Millionen Dollar.

Wo versagte das wichtigste Schutzsystem der Offline-Wallets?

Der wichtigste Vorteil von Hardware-Wallets wie Coldcard besteht darin, dass sie ohne Internetverbindung funktionieren. Bitcoin-Besitzer bewahren ihre privaten Schlüssel beziehungsweise Seed-Phrasen, die als Passwörter dienen, vollständig offline auf. Dieses Verfahren wird als Cold Storage bezeichnet und soll im Vergleich zu „Hot“-Wallets in herkömmlichen Online- oder Börsenkonten mehr Sicherheit bieten. Die Coins im Haupt-Blockchain-Netzwerk bleiben zwar an ihrem Platz, doch der Zugriff darauf sollte ausschließlich durch das geheime Passwort auf dem Offline-Gerät geschützt werden.

Forscher von Block Security stellten jedoch fest, dass Hacker eine Schwachstelle im Verfahren zur Erstellung der Seed-Phrasen von Coldcard-Wallets entdeckt hatten. Wie sich herausstellte, waren diese Schlüssel nicht zufällig genug und konnten im Voraus vorhergesagt werden. Nachdem die Cyberkriminellen die Regeln zur Codegenerierung ermittelt hatten, konnten sie die geheimen Wörter der Opfer durch Brute Force, also systematisches mathematisches Ausprobieren, leicht berechnen. Experten zufolge fanden die Hacker nicht etwa einen Weg, den Tresor aufzubrechen, sondern eine Methode, seinen Schlüssel in großem Maßstab nachzubilden.

Einer der betroffenen Nutzer, Jonathan Goodman, schrieb auf seiner Social-Media-Seite X, dass er 1,6 Millionen Dollar verloren habe und alle Sicherheitsregeln strikt befolgt habe. Er betonte, dass er seine geheimen Wörter niemandem mitgeteilt habe, seine Geräte nie mit dem Internet verbunden gewesen seien und sämtliche Daten in Tresoren aufbewahrt worden seien. Seinen Worten zufolge war all das nutzlos, weil eine 2021 in die Gerätesoftware eingeführte, einzeilige Schwachstelle das gesamte System gefährdete.