Bitcoin-Nutzer setzen auf Würfelwürfe, während Self-Custody-Setups neu bewertet werden

Angesichts des katastrophalen Low-Entropy-Bugs in Coldcard Hardware Wallets, der mit öffentlich beobachteten Diebstählen ab dem 30. Juli in Verbindung gebracht wird, haben Bitcoin-Besitzer damit begonnen, die Vertrauensannahmen in ihren Hardware-Wallet-Setups neu zu bewerten.

Wie die Entropie-Schwachstelle von Coldcard funktionierte

Die Coldcard-Geräte waren mit anscheinend funktionsfähigen STM32 „True Random Number Generators“ (TRNGs) ausgestattet, die auf physikalischen Prozessen basieren, um eine nicht erratbare Seed-Phrase zu erzeugen.

Nachdem jedoch Coldcard-Schöpfer NVK beschlossen hatte, einen Firmware-Rewrite einzuleiten, um von einem GPL-lizenzierten Freie-Software-Modell zu einem Read-only-Modell zu wechseln, scheint eine schwerwiegende Sicherheitslücke eingeführt worden zu sein.

Ab der Firmware-Version 4.0.1, die im März 2021 veröffentlicht wurde, verwendete das Gerät Yasmarang PRNG von MicroPython, anstatt den STM32-Hardware-RNG ordnungsgemäß zu nutzen.

Die Erzeugung von Zufallszahlen ist ein ungelöstes Problem in der Informatik, weshalb die Generierung sicherer, nicht erratbarer privater Schlüssel immer bis zu einem gewissen Grad auf externen physikalischen Prozessen basieren muss.