coindesk.com
Angreifer haben nun leergeräumtfast 114 Millionen US-Dollar in Bitcoin von mehr als 709 Adressen, Ausnutzung einer Schwachstelle in der Coldcard-Firmware, die Wallet-Seeds mit einem Bruchteil der versprochenen Zufälligkeit erzeugte. Der erste Sweep innerhalb von 25 Minuten etwa 500 Wallets geleert. Der Fehler wurde im März 2021 in den Code aufgenommen und lag mehr als fünf Jahre öffentlich im Open-Source-Bereich. Viele Personen erklären, was passiert ist. Die schwierigere Frage ist jedoch, warum niemand das Problem entdeckt hat, und die Antwort weist auf weit mehr als nur eine Codezeile hin.
Der Fehler bestand fünf Jahre lang öffentlich
Der Quellcode von Coldcard war stets zur Inspektion verfügbar. „Vertraue nicht, überprüfe“ funktioniert nur, wenn qualifizierte Personen tatsächlich einen Blick darauf werfen, und im Laufe von fünf Jahren tat dies faktisch niemand. Die Chronologie der Einführung des Fehlers verdient Aufmerksamkeit. Im Jahr 2020 trug die Firmware von Coldcard eine GPL-Open-Source-Lizenz. Zwei Tage nachdem ein Konkurrent ein auf diesem GPL-Code basierendes Gerät ankündigte, erklärte Coinkite-CEO Rodolfo Novak, bekannt als NVK, öffentlich (in einem seit gelöscht Tweet), dass er es bereute, die GPL gewählt zu haben. Im November desselben Jahres führte Coldcard eine neue Lizenz mit der Commons Clause ein, deren eigene FAQ eindeutig besagt, dass die daraus resultierende Software nicht mehr Open Source ist. Es folgte eine umfassende Überarbeitung, und der Commit im März 2021, der den letzten GPL-Code entfernte, ist derselbe Commit, der die Seed-Generierung beeinträchtigte.
Niemand kann messen, wie stark der Lizenzierungsdruck den Umfang oder die Geschwindigkeit dieser Überarbeitung beeinflusst hat, und die Neugestaltung verfolgte auch legitime technische Ziele. Die belegten Fakten sind enger gefasst und dennoch belastend: Einer Lizenzänderung zur Einschränkung von Wettbewerbern ging ein überstürzter Ersatz bewährten kryptografischen Codes voraus, und der Ersatz enthielt den Fehler, der nun Wallets auslaugt. Prinzipien der freien und Open-Source-Software existieren genau, um zu verhindern, dass Sicherheit von den Entscheidungen eines einzelnen Unternehmens abhängt. Diese Prinzipien dürfen keine Ausnahme aufgrund der Persönlichkeit machen.
Zach Herbert ist Mitbegründer und CEO von Foundation.
Forscher lernten, nicht hinzuschauen
Das tiefere Versagen betrifft die Menschen, die tatsächlich hingeschaut haben. Im August 2020 veröffentlichten Forscher von Shift Crypto und Nunchuk offengelegt eine Multisig-Überprüfungsanfälligkeit in Coldcard. Coinkite hat den Fehler anerkannt und eine Korrektur ausgeliefert, und NVK sprach darüber im Citadel Dispatch Podcast gleichzeitig gebrandmarkt die Offenlegung „PR-Terrorismus“ und stellte in Frage, ob ein Forscher ohne CVE als Profi gilt. Im Jahr 2023, als das WalletScrutiny-Projekt Probleme bei der Reproduktion älterer Coldcard-Builds meldete, die Antwort bezeichnete das Projekt als inkompetent oder böswillig und geführte Rechtsstreitigkeiten. Unabhängige Nachverfolgung später stellte echte Reproduktionsprobleme in älteren Versionen fest und kam zu dem Schluss, dass niemand in böser Absicht gehandelt hatte.