Coinkite-CTO Peter Gray hat den Code hinter dem Coldcard-Hack im Wert von 114 Millionen US-Dollar in Verbindung gebracht
- Forscher konnten den fehlerhaften Zufallscode, der hinter dem Datenleck der Coldcard-Wallet im Wert von 114 Millionen Dollar steckte, auf Coinkite-Mitbegründer Peter Gray trac.
- Der Entwickler James O'Beirne sagt, er habe Coinkite im Mai 2025 auf den Fehler hingewiesen.
- Die Sicherheitslücke wurde seit dem 30. Juli in vier Wellen auf über 5.200 Adressen ausgenutzt.
Forscher haben den fehlerhaften Zufallscode, der im Zentrum des Coldcard-Wallet-Hacks stand, mit Peter Gray, dem Mitbegründer und CTO von Coinkite, in Verbindung gebracht. Laut Bitcoin Entwickler James O'Beirne ignorierte Gray im Mai 2025 eine Warnung vor dem Defekt.
Der Exploit hat mittlerweile rund 114 Millionen Dollar auf mehr als 5.200 Bitcoin -Adressen abgezogen, und laut Coinkite ist er immer noch aktiv.
Die GPG-Signaturen, die auf eine bestimmte Person verweisen
Die fehlerhafte Bibliothek namens libngu wurde auf GitHub unter einem pseudonymen Konto namens Switch veröffentlicht. Eine Analyse vom 4. August Bitcoin lieferte kryptografische Beweise dafür, dass das Konto Gray gehört.
O’Beirnes Analyse basiert auf GPG-Commit-Signaturen. Laut der Analyse gibt es 58 Commits, die als „Switck“ verfasst wurden und gültige Signaturen von Grays persönlichem Schlüssel tragen – demselben Schlüssel, mit dem er seine Commits unter dem Namen Peter D. Gray im selben Repository signiert.
Das Switch-Konto hingegen hat keinen eigenen Schlüssel hochgeladen. Die Analyse besagt, dass kryptografisch bewiesen wurde, dass es sich bei den beidendentum ein und dieselbe Person handelt.
Der Zusammenhang ist deshalb wichtig, weil die Produktionsfirmware von Coldcard libngu als Abhängigkeit einbindet, so O'Beirnes Analyse, die auch auf die Erkenntnis des Sicherheitsunternehmens Wizardsardine verweist, dass die Bibliothek eines von drei Repositories ist, die an der Sicherheitslücke beteiligt sind.
Ein Bericht vom Mai 2025, der im Sande verlief
O'Beirne wies bereits vor über einem Jahr auf das Risiko hin, als er im Mai 2025 die Firmware von Coldcard überprüfte.
Er sagte, er wolle herausfinden, woher die Wallet ihre Zufälligkeit beziehe, und habe dies auf libngu trac. Anschließend habe er Coinkite über den möglichen Defekt informiert.
„Das ist derselbe Typ, der meinen Bericht über die Möglichkeit des Defekts im Mai 2025 einfach abgetan hat“, schrieb O’Beirne mit Bezug auf Gray. Er fügte hinzu, dass er die ganze Geschichte dieses Gesprächs noch nicht erzählt habe.
Coinkite hat sich zu den im BerichtdentIdentitätsbehauptungen noch nicht geäußert.
Ein Commit im Jahr 2021, fünf Jahre lang unbemerkt
Die Bitcoin -Entwicklungs- und Sicherheitsteams von Block konnten die Ursache in einem Commit vom 1. März 2021 trac, der die Art und Weise änderte, wie Coldcard den Seed einer Wallet generierte. Die Änderung ersetzte einen Aufruf, der den Hardware-Zufallszahlengenerator des Geräts nutzte, durch einen, der den Software-Randomizer von MicroPython verwendete.
Der Fehler versteckte sich in einer einzigen Vorverarbeitungsprüfung. Firmware-Version 4.0.0 wurde am 17. März 2021 mit dem Fehler ausgeliefert.
Die Seeds waren mit zu geringer Entropie erstellt worden, sodass Angreifer sie offline regenerieren und Gelder abgreifen konnten, ohne jemals ein Gerät zu berühren. Bei keinem der Diebstähle wurden gestohlene Hardware, Phishing oder Schadsoftware eingesetzt.
Coinkite fordert Eigentümer auf, ihre Gelder jetzt zu transferieren
Coinkite hat seine Nutzer dringend zum Handeln aufgefordert. „Bitte behandeln Sie dies als dringend. Sichern Sie Ihre Guthaben“, teilte das Unternehmen mit und bestätigte gleichzeitig, dass die Sicherheitslücke weiterhin ausgenutzt wird. Coinkite bat die Nutzer, andere, weniger online aktive Nutzer zu warnen
Nicht alle Wallets sind betroffen. Berichten zufolge sind Mk3-Geräte mit Firmware 4.0.1 oder höher gefährdet, während Besitzer von Mk4-, Mk5- und Q-Geräten mit Firmware unter 5.6.0 oder 1.5.0Q ein Update durchführen, einen neuen Seed erstellen und ihre Coins transferieren sollten.
Wallets, die mit der Würfelwurf-Option des Geräts erstellt wurden (bei der der Benutzer mindestens 50 physische Würfe eingibt), haben den fehlerhaften Pfad nie durchlaufen und gelten als sicher. AuchtronBIP-39-Passphrasen und Multisig-Setups, bei denen der Coldcard-Schlüssel nur einer von mehreren Unterzeichnern ist, erwiesen sich als sicher.
Verluste in Höhe von fast 114 Millionen Dollar über vier Wellen
Die Diebstähle erfolgten in Schüben. Die erste Welle am 30. Juli verschob innerhalb von 41 Minuten rund 1.083 BTC von 1.196 Adressen, was einem Wert von etwa 70 Millionen US-Dollar entspricht. Drei weitere Wellen folgten innerhalb von fünf Tagen, wobei Galaxy Research am frühen Morgen des 3. August einen vierten Diebstahl registrierte, der die Gesamtsumme auf rund 1.816 BTC erhöhte.
Einige Berichte beziffern den Wert auf rund 116 Millionen Dollar, andere nennen 114 Millionen Dollar zu den aktuellen Preisen.
Bitcoin selbst hat sich kaum bewegtund notierte am 4. August während der US-Handelszeiten bei rund 63.800 US-Dollar. Vincent Bouzon, ein Cybersicherheitsexperte beim konkurrierenden Wallet-Hersteller Ledger, erklärte, dass es sich bei dem Vorfall eher um ein Versagen einer Implementierung als um ein Urteil über die Selbstverwahrung handele, und fügte hinzu, dass Entropie „in sicherer Hardware verankert sein muss“.
Wenn Sie das hier lesen, sind Sie schon einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Häufig gestellte Fragen
Wer hat den Code hinter der Coldcard-Sicherheitslücke geschrieben?
Eine Analyse des Bitcoin Entwicklers James O'Beirne legt nahe, dass es sich bei dem pseudonymen Konto `switck`, dem Autor der libngu-Bibliothek, die schwache Seeds generierte, um Coinkite-CTO Peter Gray handelt. Diese Annahme basiert auf GPG-Signaturen von Grays persönlichem Schlüssel bei Commits, die unter beiden Namen durchgeführt wurden.
Wie viele Bitcoin wurden beim Coldcard-Hack gestohlen?
Galaxy Research zählt rund 1.816 BTC, die seit dem 30. Juli in vier Wellen von mehr als 5.200 Adressen abgezogen wurden; der Wert liegt zwischen 114 Millionen und 116 Millionen US-Dollar.
Welche Coldcard-Wallets sind vor dieser Sicherheitslücke sicher?
Wallets, die mit der Würfelwurf-Option des Geräts mit mindestens 50 Würfen erstellt wurden, solche, die durch einetronBIP-39-Passphrase geschützt sind, und Multisig-Setups, bei denen der Coldcard-Schlüssel nur von einem Unterzeichner stammt, waren nicht betroffen.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan/ übernimmt keine Haftung für Investitionen, die auf Grundlage der Informationen auf dieser Seite getätigt werden. Wirtronempfehlen dringend, vor jeder Anlageentscheidung eigene Recherchen durchzuführendent oder einen qualifizierten Fachmann zu konsultieren
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast zehn Jahren Erfahrung im Bloggen und der Eventberichterstattung im Kryptobereich. Bei Cryptopolitanschreibt sie für die Nachrichtenseite und berichtet und analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Kryptoregulierung, KI und Zukunftstechnologien. Sie hat an der Arcadia University Betriebswirtschaftslehre studiert.
