news.bitcoin.com
Von den 13 Herstellern von Hardware-Wallets, die Bitcoin.com News um eine Stellungnahme gebeten hatte, bestätigten Trezor, Bitbox und Onekey, dass ihre Verkaufszahlen im August sprunghaft angestiegen sind. Ledger lehnte es ab, sich zu seinen monatlichen Verkaufszahlen zu äußern, während der Hersteller des börsennotierten Unternehmens Bitkey, Block, an seine Quartalsberichte gebunden ist.
Zwar gab keines der Unternehmen genaue Zahlen bekannt, doch Bitbox äußerte sich am konkretesten und erklärte, dass sich seine Umsätze bei Kreditkartenzahlungen im Vergleich zum Referenzwert der vorangegangenen Wochen etwa verzehnfacht hätten. Darin sind Umsätze über andere Zahlungsmethoden nicht enthalten.
„Wir haben einen Umsatzanstieg verzeichnet, der größtenteils aus Nordamerika stammt, wo Coldcard vermutlich am stärksten vertreten war“, erklärte Douglas Bakkum, CEO von Bitbox, gegenüber Bitcoin.com News.
Ein ermutigendes Zeichen für die Selbstverwahrung
Unterdessen gab Trezor bekannt, ebenfalls einen Umsatzanstieg verzeichnet zu haben, insbesondere bei den Verkäufen seiner reinen Bitcoin-Produkte. Das Unternehmen nannte zwar keine konkreten Zahlen, doch sein Sicherheitschef Jan Komárek wies darauf hin, dass dieser Anstieg ein ermutigendes Zeichen für die gesamte Bitcoin-Branche sei.
„Für uns ist der interessantere Punkt, was dies bedeutet: Es sieht so aus, als hätten sich die von der Coldcard-Situation betroffenen Menschen nach einer anderen Hardware-Wallet umgesehen, anstatt die Selbstverwahrung aufzugeben“, sagte er und fügte hinzu, dass dies „die ermutigende Erkenntnis ist: Die Reaktion auf eine schwierige Situation bestand darin, die Kontrolle über die eigenen Schlüssel zu behalten und nicht davon abzurücken.“
Branchenanalysten zufolge haben jedoch viele Nutzer von Hardware-Wallets ihre Guthaben an Krypto-Börsen überwiesen oder ihr Kapital in ETFs umgeschichtet und damit die Selbstverwahrung aufgegeben. In beiden Fällen ist unklar, wie umfangreich diese Abwanderung war oder ob es sich lediglich um eine vorübergehende Maßnahme handelte, bevor die Nutzer zur Selbstverwahrung zurückkehrten.
Onekey verzeichnete zwar ebenfalls einen Umsatzanstieg, wies jedoch darauf hin, dass dieser möglicherweise auch durch andere Faktoren beeinflusst worden sei, darunter individuelle Produktzyklen. Nach Angaben des Unternehmens löste die Coldcard-Krise eine viel breitere Diskussion über Sicherheitsfragen bei Hardware-Wallets aus, die für Endnutzer normalerweise nicht sichtbar sind, wie beispielsweise die Generierung von Seed-Phrasen.
Der Firmware-Exploit bei Coldcard löste jedoch nicht nur bei Endnutzern, sondern auch bei den Herstellern von Hardware-Wallets ähnliche Diskussionen und Maßnahmen aus. Zunächst veranlasste der Vorfall die Teams dazu, ihre aktuellen Sicherheitsmodelle zu überprüfen.
Was die Wallet-Anbieter bereits unternommen haben
Trezor überprüfte seine eigene Seed-Generierung speziell im Hinblick auf den Fehlermodus, der im Coldcard-Fall ausgenutzt wurde; BitBox warf einen „erneuten detaillierten Blick“ auf den Code seines eigenen Zufallszahlengenerators, während Onekey angab, eine zusätzliche End-to-End-Überprüfung der Entropie- und Seed-Generierungspfade in seiner gesamten Hardware-Wallet-Produktpalette durchgeführt zu haben.
Wie Bitcoin.com News berichtete, hat BitBox unabhängig von Coldcard im August dieses Jahres eigene Firmware-Fehler offengelegt und behoben. Es wurden keine Ausnutzungen gemeldet. Unterdessen gab Trezor im selben Monat bekannt, dass fast 14.000 seiner Kunden von einem Datenleck bei einem der Versanddienstleister von Trezor betroffen waren. In beiden Fällen steht die größte Herausforderung in Sachen Sicherheit noch bevor, da sich Hardware-Wallets für Bitcoin und andere Krypto-Assets an die neue, durch KI bedingte Realität anpassen müssen.
Zwei Dinge, auf die man sich konzentrieren sollte
„Angreifer arbeiten bereits mit Maschinen-Geschwindigkeit, also müssen wir das auch tun, um ihnen einen Schritt voraus zu sein“, sagte Charles Guillemet, CTO von Ledger, und fügte hinzu, dass die Abwehr derzeit noch langsamer vorankommt als die Angreifer. Zumindest, so Guillemet, schrumpft das Zeitfenster zwischen der Veröffentlichung eines Patches und dessen Ausnutzung durch Angreifer.
Der CTO betonte, dass sich Unternehmen nun auf zwei Dinge konzentrieren sollten: die Verbesserung der Offenlegung und die Aufklärung der Nutzer.
„Erstens muss sich die verantwortungsvolle Offenlegung weiterentwickeln – mit schnelleren Patches, kürzeren Offenlegungsfristen und Migrationsstrategien, die davon ausgehen, dass fähige, KI-gestützte Angreifer Teil des Sicherheitsmodells sind und nicht nur optionale Verbesserungen darstellen“, erklärte Guillemet gegenüber Bitcoin.com News.
Außerdem sei es seiner Meinung nach „für die Sicherheit der Branche unerlässlich“, den Menschen das Verständnis für Hardware-Wallets zu vermitteln.
Aktualisieren Sie sogar Ihre Haushaltsgeräte
In diesem Zusammenhang forderten die Entwickler der Blockstream Jade-Wallet in ihren „Überlegungen zu den Folgen des Coldcard-Vorfalls“ die Nutzer von Hardware-Wallets auf, ihre Software auf dem neuesten Stand zu halten. Blockstream Jade hat gerade ein Firmware-Update mit einer Reihe von Fehlerbehebungen veröffentlicht. Nach Angaben des Teams sollten Nutzer jedoch nicht nur ihre Hardware-Wallets, sondern auch ihre Anwendungen, Betriebssysteme, Geräte, Router und sogar Haushaltsgeräte auf dem neuesten Stand halten.
„Die Aufrechterhaltung der Sicherheit ist ein fortlaufender Prozess, an dem auch Sie als Nutzer mitwirken müssen“, betonten sie und fügten hinzu, dass der Coldcard-Fehler „ein bedauerlicher Fall war, in dem Nutzer durch ein Update ihrer Software und Firmware nicht geschützt werden konnten“.
Unterdessen fügte Onekey hinzu, dass die Sicherheit von Hardware-Wallets auf hardwaregestützter Entropie und Schlüsselspeicherung, überprüfbarer Open-Source-Software, unabhängigen Sicherheitsüberprüfungen, einer strikten Trennung sicherheitskritischer Komponenten und einer für den Nutzer transparenten Transaktionsüberprüfung basieren müsse.
„Da KI die Kosten für die Analyse von Software und die Automatisierung von Angriffen senkt, besteht das Ziel darin, sicherzustellen, dass die Entdeckung einer einzigen Schwachstelle in der Implementierung nicht ausreicht, um das gesamte Sicherheitsmodell zu kompromittieren“, erklärte der Wallet-Hersteller.
Kurz-, mittel- und langfristige Sicherheitspläne
Die Unternehmen selbst setzen bereits kurz-, mittel- und langfristige Sicherheitsmaßnahmen um. So führt beispielsweise Trezor „als direkte Reaktion auf die Coldcard-Erkenntnisse“ „zusätzliche Plausibilitätsprüfungen“ der geräteintern generierten Entropie durch, um zu überprüfen, ob tatsächlich externe Entropie verwendet wird.
„Darüber hinaus hat uns unsere Überprüfung dazu veranlasst, unsere internen Tests und Sicherheitsvorkehrungen rund um den unsicheren Testgenerator zu verstärken und die Art und Weise zu erweitern, wie wir den Aufrufpfad jeder einzelnen Entropiequelle überprüfen“, sagte Komárek und wies darauf hin, dass der unsichere Generator nur für interne Testzwecke existiere.
Das Unternehmen bearbeitet zudem Berichte unabhängiger Sicherheitsforscher und plant mittelfristig einen neuen Penetrationstest der zentralen Firmware-Funktionen, der von „einer renommierten externen Sicherheitsagentur“ durchgeführt werden soll. Die Sicherheitsprüfberichte sollen veröffentlicht werden.
„Langfristig liegt unser Fokus darauf, KI-gestützten Angriffen immer einen Schritt voraus zu sein, anstatt nur auf sie zu reagieren“, sagte der Sicherheitsleiter, während auch andere Wallet-Hersteller betont haben, dass sie neben Prämienprogrammen bereits KI zur Überprüfung ihres Codes einsetzen.
„Unser Donjon-Forschungslabor (White-Hat-Hacker-Labor) dient dazu, unsere Produkte zu knacken, bevor es jemand anderes tun kann, und intern setzen wir in großem Umfang LLMs ein, um nach Schwachstellen in unseren eigenen Produkten zu suchen“, fügte Guillemet von Ledger hinzu.
Onekey erklärte, man konzentriere sich derzeit auf die verstärkte Überprüfung sicherheitskritischer Codepfade, Firmware-Builds, der Entropiegenerierung und der Abläufe bei der Transaktionssignierung, während mittelfristig der Schwerpunkt auf der Transaktionsverifizierung liegen werde – unter Bezugnahme auf die „Clear Signing“-Lösung, die für viele wichtige Krypto-Assets außerhalb von Bitcoin relevant ist.
Gemeinsame Verantwortung und neue kritische Fehler
Unterdessen leisteten die Sicherheitsforscher des Bitkey-Herstellers Block während der Coldcard-Krise einen entscheidenden Beitrag zur Unterstützung der Bitcoin- und Hardware-Wallet-Branche, da sie aktiv mit der Community zusammenarbeiteten, um kritische Erkenntnisse auszutauschen und die Maßnahmen zur Bewältigung der Krise zu koordinieren.
„Wir haben unsere Erkenntnisse sowohl über öffentliche X-Diskussionen als auch über private Kanäle transparent weitergegeben, da wir der Ansicht sind, dass alle Hersteller die Verantwortung haben, schnell zu handeln, wenn Sicherheitslücken das Ökosystem betreffen“, erklärte das Unternehmen gegenüber Bitcoin.com News und fügte hinzu, dass Hardware-Wallets die Kontrolle über wichtige Sicherheitsmodelle behalten sollten.
Während der Erstellung dieses Artikels, am 26. August, kursierten erste Berichte über einen weiteren „kritischen Fehler bei einem großen Hardware-Wallet-Anbieter“. Rob Segers, ein Bitcoin-Sicherheitsberater und Gründer von Bitsaga, der diesen Fehler neben „mehreren anderen Fehlern mit hohem Schweregrad“ entdeckt hatte, sagte, dass der nicht namentlich genannte Anbieter diese Fehler bestätigt habe, „aber eine Korrektur bereits in einer kommenden Version enthalten ist“.
Laut Segers wurde der kritische Fehler in der „offiziellen Hardware-Firmware gefunden, erfordert jedoch bösartige Host-Software“, um die Gelder zu stehlen. Das bedeutet, dass der Fehler ausgenutzt werden könnte, wenn ein Nutzer beispielsweise eine gefälschte Wallet herunterlädt. Marek „Slush“ Palatinus, Mitbegründer von Trezor, bestätigte, dass der gemeldete Fehler nicht diese Wallet betrifft. Unterdessen berichtete Segers, dass er zwei weitere Fehler gefunden habe, was ihm Kritik wegen Panikmache einbrachte. Bleibt auf der sicheren Seite.