COLDCARD RNG Incident (2026) bezeichnet den im Juli 2026 bekannt gewordenen Vorfall, bei dem ein Softwarefehler die Seed-Erzeugung schwächte. Der Seed ist die geheime Grundlage, aus der eine Wallet ihre Schlüssel ableitet; RNG bedeutet Zufallszahlengenerator. Für die Risikobewertung zählen die Entstehung des Seeds und die damals verwendete Firmware. Weder Bitcoins Regeln noch eine Fernübernahme des Geräts waren die Ursache.
Coinkite und Block veröffentlichten am 30. Juli 2026 nach Verlustmeldungen erste Analysen. Laut Hersteller mussten Angreifer fremde Geräte nicht steuern: Sie konnten schwach erzeugte Geheimnisse nachbilden und die zugehörigen privaten Schlüssel ermitteln. Damit lassen sich Überweisungen signieren. Die Wallet vom Internet zu trennen reichte deshalb nicht aus. Diese Beschreibung erklärt allerdings nicht jeden einzelnen Verlust; aus der Gerätemarke allein lässt sich dessen Ursache nicht bestimmen. [2] [3]
Die Wallet sollte eine Hardware-Zufallsquelle verwenden, einen sogenannten TRNG. Nach Einbindung der Bibliothek libNgU führte ngu.random.bytes jedoch zu MicroPythons Funktion rng_get und deren Softwaregenerator Yasmarang. Beim Erstellen des Programms wurden die falschen Bestandteile verbunden. MICROPY_HW_ENABLE_RNG war auf 0 gesetzt; #ifndef prüfte aber lediglich, ob diese Einstellung existierte, nicht ihren Wert. Der richtige Hardwarecode konnte somit in der Datei stehen, ohne bei der Seed-Erzeugung verwendet zu werden. Es war weder ein Chipdefekt noch ein absichtlich vorgesehener Notbetrieb. [1]
Ein Angreifer profitiert davon, wenn ein Geheimnis aus weniger Möglichkeiten gewählt wird. Hier hing der Programmzustand von Gerätedaten, Zeitgebern und früheren Aufrufen ab. Für Mk4, Mk5 und Q beschreibt Block eine zusätzliche Zustandsaktualisierung mit höchstens 32 Bit: maximal 2^32 unterschiedliche Ausgabefolgen bei unverändertem Rest. Coinkite schätzte die gesamte Entropie, also das Maß der Ungewissheit, vorläufig auf etwa 40 Bit für Mk2/Mk3 und 72 Bit für neuere Modelle. Die Zahlen beruhen auf verschiedenen Annahmen. Sie nennen weder die Kosten jedes Angriffs noch belegen sie, dass jede Wallet sofort geknackt werden kann. [3] [1]
Die offizielle Warnung nennt Mk2/Mk3 mit 4.0.1–4.1.9. Blocks erste Analyse umfasst bereits 4.0.0 und die Änderung vom März 2021. Die Quellen unterscheiden sich also beim Beginn des betroffenen Bereichs; Vermutungen lösen diese Unsicherheit nicht. Bei unklarer Seed-Herkunft empfiehlt die Migrationsanleitung, die Wallet als betroffen zu behandeln. Mk4/Mk5 und Q waren vor der Korrektur ihres jeweiligen Firmware-Zweigs ebenfalls betroffen. Die damalige Aussage über alle Produktionsversionen beschreibt nicht die später korrigierten Veröffentlichungen. [2] [3] [5]
Die ersten korrigierten Versionen sind Mk2/Mk3 4.2.0, Mk4/Mk5 Standard 5.6.0, Q Standard 1.5.0Q, Mk4/Mk5 Edge 6.6.0X und Q Edge 6.6.0QX. Standard und Edge sind getrennte Zweige; eine höhere Nummer im anderen Zweig beweist für sich nichts. Bei dieser Überarbeitung empfiehlt der Hersteller Standard 5.6.3 für Mk4/Mk5 und 1.5.3Q für Q. Prüfen Sie vor der Installation die aktuelle offizielle Seite, den Datei-Hash und die Signatur der Veröffentlichung. Der Hash ist ein Inhaltsabdruck; die Signatur hilft, die Herkunft zu überprüfen. Auch ein korrekt installiertes Update verändert keinen bestehenden Seed. [4]
Stellen Sie einen schwach erzeugten Seed auf einem neuen Gerät wieder her, bleibt das Geheimnis dasselbe. Nur das Gerät ist neu. Das gilt auch beim Klonen oder Übertragen der Wallet. Hashing berechnet einen Datenabdruck, vermehrt aber nicht die möglichen Eingaben. BIP39 Checksum hilft, Fehler in den Wörtern zu erkennen, und liefert keine fehlende Zufälligkeit. Umgekehrt wird ein anderswo sicher erzeugter Seed durch den bloßen Import in eine COLDCARD nicht von diesem konkreten Fehler geschwächt. Seine Herkunft ist entscheidend. [3] [5]
Die Ausnahme des Herstellers gilt für mindestens 50 unabhängige Würfe mit einem fairen Würfel, eingegeben über die ursprüngliche Funktion Add Dice Rolls. Die Folge durfte weder aufgezeichnet noch offengelegt werden; verwendet werden mussten die endgültigen Wörter nach dem Hinzufügen der Würfe. Bei weniger Würfen oder Unsicherheit empfiehlt er die Migration. BIP39 Passphrase ist eine andere Maßnahme: ein zusätzlicher geheimer Text, der zusammen mit dem Seed eine weitere Wallet bestimmt. Eine starke, einzigartige Passphrase schafft eine zusätzliche Hürde, repariert aber den Seed nicht; auch ihren Nutzern empfiehlt der Hersteller die Migration. Eine PIN schützt nur den Gerätezugang. Heutige Regeln für neue Seeds sind von dieser historischen Ausnahme zu unterscheiden. [2]
Prüfen Sie zuerst, ob eine verwendbare Sicherung der ursprünglichen Wallet vorliegt. Erzeugen Sie dann gemäß Migrationsanleitung mit korrigierter Firmware einen wirklich neuen Seed und prüfen Sie dessen Sicherung. Kontrollieren Sie den Fingerprint, eine kurze Wallet-Kennung, und die Empfangsadresse auf dem Gerätedisplay. Senden Sie einen kleinen Testbetrag; erst nach Prüfung von Ziel und Eingang folgt der Rest. Berücksichtigen Sie alle Konten mit Guthaben, Passphrase-Wallets, abgeleiteten Wallets und Multisig-Regelungen. Bewahren Sie die alte Sicherung bis zum bestätigten Abschluss auf. Bei Abweichungen nichts senden oder löschen. Geheime Wiederherstellungsdaten niemals in ein Webformular eingeben. [5]
Multisig verlangt für eine Überweisung eine festgelegte Zahl von Signaturen aus mehreren Schlüsseln. Erbeutet ein Angreifer genügend Schlüssel, um diese Regel zu erfüllen, reicht der Schutz nicht mehr. Prüfen Sie deshalb die übrigen Schlüssel, erstellen und kontrollieren Sie eine neue Signaturregel auf dem Gerät und übertragen Sie das Guthaben dorthin. Block beschreibt weitere Verwendungen desselben Generators: einzelne Paper-Wallet-Schlüssel und bestimmte temporäre Verschlüsselungsschlüssel. Die Folgen hängen von ihrer konkreten Verwendung und den verfügbaren Angreiferdaten ab; nicht jede Funktion ist gleich betroffen. [3] [5]
Die Statusseite nennt einen Test des Hardwaregenerators auf einer echten Mk4, Quellcodeprüfungen und die unabhängige Wiederholung des Builds einer bestimmten Korrektur. Das überprüft den beschriebenen Mechanismus, beweist aber nicht die Sicherheit jeder veröffentlichten Datei. Der aktuelle Standard-Zweig verlangt außerdem einen eigenen Zufallsbeitrag des Nutzers für neue Seeds. Frühere Hinweise, dieser sei immer freiwillig, sind deshalb keine aktuelle Anleitung für diesen Zweig. Die Seite dokumentiert die laufende Behebung; einen gesonderten ausführlichen technischen Ursachenbericht bezeichnet sie weiterhin als in Vorbereitung. [4]
Aktualisiertes Gerät, ursprüngliches Problem
Ein Nutzer erzeugte auf Mk3 4.1.9 ohne eigene Würfelwürfe einen Seed. Er installiert 4.2.0 und stellt dieselben Wörter auf einem anderen Gerät wieder her, verwendet aber weiter das ursprüngliche Geheimnis. Die Migrationsanleitung sieht einen neuen Seed auf korrigierter Firmware vor, gefolgt von der Prüfung der Sicherung und Adresse sowie einem kleinen Testtransfer. Erst danach folgt das übrige Guthaben. Die alte Sicherung bleibt erhalten, bis der gesamte Umzug bestätigt ist.
Für ein möglichst vollständiges Bild lies diesen Eintrag zusammen mit Cryptographic Entropy, Deterministic RNG, Seed Generation, BIP39 checksum, BIP39 passphrase, Dice Roll Entropy.
01Reicht der Kauf eines neuen Geräts?+
Nein, wenn Sie denselben betroffenen Seed wiederherstellen. Neue Hardware ändert nicht, wie das Geheimnis ursprünglich entstand. Das Vorgehen hängt von der Herkunft und den genauen Bedingungen der Ausnahme für unabhängige Würfelwürfe ab. Bei einem betroffenen Seed geht es um den Umzug in eine neue Wallet, nicht nur um einen Gerätetausch.
02Bedeuten 32 Bit einen gleich einfachen Angriff auf jedes Modell?+
Nein. In Blocks Analyse betrifft die Zahl die zusätzliche Zustandsänderung bei festem übrigen Zustand und fester Aufrufhistorie. Unbekannte Gerätedaten oder Zeitabläufe verändern die Aufgabe des Angreifers. Die Zahl ist weder eine allgemeine Messung der Angriffsgeschwindigkeit noch eine Sicherheitsgarantie für einen bestimmten Seed.