Ein fünf Jahre unentdeckter Fehler in der Coldcard-Hardware-Wallet hat eine Sicherheitslücke in der Branche offenbart. Kraken-Sicherheitschef Nick Percoco fordert nun verbindliche unabhängige Tests für die Zufallszahlengenerierung – bisher ein blinder Fleck bei Hardware-Wallet-Herstellern.
Bei Coldcard wurde ein kritischer Fehler entdeckt, der seit März 2021 bestand: Bei der Integration einer neuen kryptografischen Bibliothek wurde die Seed-Generierung versehentlich auf einen schwächeren Zufallsgenerator umgeleitet, statt den vorgesehenen echten Zufallszahlengenerator (TRNG) zu nutzen. Dieser Fehler führte bereits zu über 90 Millionen Dollar gestohlener Bitcoin von mehr als 4.500 betroffenen Adressen.
Das Kernproblem lag in den Audit-Verfahren: Sicherheitsprüfer verifizierten zwar, dass der beabsichtigte Zufallsgenerator im Code vorhanden war, überprüften aber nicht, welcher Generator tatsächlich von der Firmware aufgerufen wurde. Diese Lücke erlaubte dem Fehler, unentdeckt zu bleiben. Nach Percoco's Aussage verfügt die restliche Sicherheitsindustrie bereits über solche End-to-End-Verifikationen – etwa die US-amerikanische NIST SP 800-90B und die deutsche BSI AIS-31 Standard.
Percoco fordert daher verpflichtende unabhängige Labortests für Hardware-Wallets, wie sie bereits in der Finanzbranche und bei staatlichen Kryptographie-Modulen Standard sind. Die aktuelle Situation sei nicht akzeptabel: „Self-Custody sollte nicht die Ausnahme sein, wenn es um Sicherheitsstandards geht." Hardware-Wallet-Hersteller müssen künftig nachweisen, dass auch tatsächlich die zertifizierte Entropiequelle in der Production-Firmware verwendet wird.