Post

Kalte Wallets sind auch nicht mehr sicher: Coldcard-Firmware-Sicherheitslücke, Ledger-Lieferkettenangriff – Gehört dein BTC wirklich dir? Du hast 1000 Yuan für eine kalte Wallet ausgegeben und dachtest, dein Vermögen sei absolut sicher. Innerhalb eines Jahres zeigen dir zwei Vorfälle: Auch kalte Wallets können eine tickende Zeitbombe sein. Die erste Bombe: Coldcard – Du hast das Gerät nie berührt, und dein Geld ist weg. Im März 2021 führte der kanadische Hardware-Wallet-Hersteller Coinkite eine fatale Schwachstelle in die Coldcard-Firmware ein: Beim Generieren der Mnemonik wurde nicht der echte Hardware-Zufallszahlengenerator verwendet, sondern ein softwarebasierter Pseudozufallszahlengenerator. Einfach gesagt: Das, was du für „zufällig“ hältst, ist es nicht wirklich. Angreifer müssen dein Gerät nicht berühren, nicht einmal online sein, um mathematisch massenhaft deine Mnemonik zu berechnen. Der erste Angriff fand am 30. Juli 2026 statt. Innerhalb von 25 Minuten verschwanden etwa 594 BTC von 500 Adressen. Das war erst der Anfang. Es folgten mindestens drei weitere Angriffswellen, bei denen insgesamt über 1.816 BTC von mehr als 5.200 Adressen abgezogen wurden, mit einem Schaden von etwa 114 bis 116 Millionen US-Dollar. Ein Nutzer berichtete, seine Coldcard sei nie mit dem Internet verbunden gewesen, die Mnemonik sei nie offengelegt worden, trotzdem wurde sein Vermögen gestohlen. Die offizielle Antwort von Coinkite lautete nur: Alle Mnemoniken, die seit März 2021 generiert wurden, gelten als möglicherweise kompromittiert. Firmware-Updates helfen nicht – bereits generierte Mnemoniken sind dauerhaft unsicher, du musst neue Mnemoniken erstellen und dein Vermögen transferieren. Die zweite Bombe: Ledger – Das Gerät, das du vom Händler gekauft hast, könnte manipuliert sein. Am 9. Oktober kam es zu einem massiven Diebstahl bei Ledger-Nutzern mit Verlusten von über 86 Millionen US-Dollar, betroffen waren Hunderte Wallets auf Ethereum, TRON, Bitcoin und anderen Chains. Die Opfer hatten eines gemeinsam: Sie hatten ihre Geräte über den südostasiatischen Händler CryptoBilis gekauft. Der ehemalige Mt. Gox-CEO Mark Karpelès öffnete ein Ledger-Gerät aus Malaysia und entdeckte eine zusätzliche Platine mit LTE-Modul und eSIM. Diese Platine kann Signale, die an den Bildschirm gesendet werden, auslesen, die Mnemonik beim Initialisieren abfangen und über das Mobilfunknetz senden. Du dachtest, es sei ein „offiziell autorisierter Händler“, tatsächlich wurde das Gerät schon ab Werk geöffnet, manipuliert und verändert. Noch beunruhigender ist die Botschaft: Die Sicherheitsannahmen der gesamten DeFi-Infrastruktur werden nach und nach zerstört. Balancer wurde um 128 Millionen US-Dollar bestohlen, Kelp DAO um 292 Millionen US-Dollar, Stream Finance’s synthetischer US-Dollar xUSD verlor seine Bindung, Aave’s Total Value Locked fiel innerhalb von 5 Tagen von 26 Milliarden auf 14,2 Milliarden. Von Kreditprotokollen über synthetische US-Dollar bis hin zu Börsen und persönlichen Hardware-Wallets – jeder vermeintlich „sichere“ Bereich hatte in diesem Jahr Vorfälle. Was solltest du tun? Drei Dinge, die du heute erledigen solltest. Erstens: Kaufe Hardware-Wallets nur über offizielle Kanäle. Sei nicht geizig und kaufe nicht über Händler oder Dritte. Der Ledger-Vorfall zeigt, dass Lieferkettenangriffe hinter den Worten „autorisiertes Händlernetz“ lauern. Zweitens: Coldcard-Nutzer sollten sofort prüfen. Wenn du seit März 2021 Mnemoniken auf Coldcard generiert hast, erstelle heute eine neue Wallet und transferiere dein Vermögen. Alte Mnemoniken sind dauerhaft unsicher. Drittens: Verwende Multisig für große Vermögen. Einfache Signatur-Wallets sind das Hauptziel der Coldcard-Angriffe. Nutze 2-von-3-Multisig mit Trezor Safe 7, Ledger Nano und Casa Recovery Keys. Wenn ein Gerät ausfällt, bleibt dein Vermögen sicher. Leg nicht alle Eier in einen Korb – und gib deinen privaten Schlüssel niemals einem einzigen Gerät. 1011 lehrt uns, dass Hebelwirkung tödlich sein kann. Dieses Jahr lehrt uns, dass selbst kalte Wallets dich verraten können. Auf diesem Markt ist der einzige Feind deiner Sicherheit dein Glück. $BTC $ETH $ZEC #Ledger确认一台涉事设备遭硬件植入