Der Coldcard-Hack beweist: Reputation ist kein Sicherheitsmodell

Niemand kann messen, wie sehr der Lizenzierungsdruck den Umfang oder die Geschwindigkeit dieser Neuschreibung beeinflusst hat, und die Überarbeitung verfolgte auch legitime technische Ziele. Die dokumentierten Fakten sind enger gefasst und dennoch vernichtend: Eine Lizenzänderung zur Einschränkung von Wettbewerbern ging einem überstürzten Austausch von kampferprobtem kryptografischem Code voraus, und der Ersatz enthielt den Fehler, der nun Wallets leert. Die Prinzipien freier und quelloffener Software existieren genau deshalb, um zu verhindern, dass die Sicherheit von den Entscheidungen eines einzelnen Unternehmens abhängt. Diese Prinzipien dürfen keine Ausnahme für Persönlichkeiten zulassen.

Zach Herbert ist Mitbegründer und CEO von Foundation.

Forscher lernten, nicht hinzusehen

Das tiefer liegende Versagen ist das, was mit den Menschen geschah, die hingesehen haben. Im August 2020 veröffentlichten Forscher von Shift Crypto und Nunchuk eine Multisig-Verifizierungs-Schwachstelle in Coldcard. Coinkite räumte den Fehler ein und veröffentlichte einen Fix, und NVK bezeichnete die Offenlegung im Citadel Dispatch-Podcast gleichzeitig als „PR-Terrorismus“ und stellte infrage, ob ein Forscher ohne CVE als Profi gilt. Als das Projekt WalletScrutiny im Jahr 2023 Probleme bei der Reproduktion älterer Coldcard-Builds meldete, bezeichnete die Reaktion das Projekt als inkompetent oder bösartig und stellte rechtliche Schritte in den Raum. Spätere unabhängige Nachprüfungen fanden echte Reproduktionsprobleme in älteren Versionen und kamen zu dem Schluss, dass niemand in böser Absicht gehandelt hatte.