Zur Fallakte springen

Fallakte · schwache Seed‑Generierung

Der Seed war gültig. Der Zufallsgenerator war fehlerhaft.

Die Wallet akzeptierte jedes Wort. Das Backup wurde wiederhergestellt. Die Prüfsumme bestand. Das beweist nicht, dass das Geheimnis schwer zu erraten war. Coldcard, Trust Wallet und Libbitcoin lieferten alle Generierungspfade mit gefährlich kleinen Suchräumen. Das ist der Beweis.

  • Keine Seed‑Wörter
  • Keine Wallet‑Adresse
  • Läuft in Ihrem Browser

Primärquellen‑Ledger

Die Belege.

Quelle, Datum, harte Feststellung, Grenze. Alles andere ist Kommentar.

Primärquellen, die den Fall schwacher Seeds unterstützen
AufzeichnungVeröffentlichtWas es feststelltGrenze
Coinkite‑Hinweis ↗Hersteller‑Offenlegung Aktualisiert 1 Aug Betroffene Releases, ≈40/72‑Bit‑Schätzungen, Würfel/Passphrase‑Bedingungen, korrigierte Versionen und Migrationsreihenfolge. Die Schätzungen sind vorläufig. Der Hinweis quantifiziert keinen Diebstahl.
Ledger Donjon ↗CVE-2023-31290 Der Erweiterungs‑Generator von Trust Wallet hatte nur 32 Bit Entropie. Donjon erzeugte das komplette Seed‑Set. Neu erzeugte Erweiterungs‑Wallets waren im Geltungsbereich; importierte Seeds nicht.
Milk Sad ↗CVE-2023-39910 bx 3.0.0–3.6.0 bestätigt ausnutzbar; 2.600+ Wallets beobachtet und ≈$900K Schaden. Behauptungen zu älteren bx Versionen bleiben in der Offenlegung vorläufig.
BIP39 ↗Eingesetzte Spezifikation Ein Mnemonic kodiert 128–256 Bit Anfangsentropie zuzüglich einer Prüfsumme. Es transportiert computer‑generierte Zufälligkeit. Das Format kann nicht garantieren, dass ein Wallet die Entropie tatsächlich sicher erzeugt hat.

Interaktiv · keine geheimen Eingaben

Beobachten Sie, wie ein schlechter Generator den Schlüsselraum auslöscht.

Wählen Sie einen dokumentierten Fall und ändern Sie dann die synthetische Suchrate. Das Modell vergleicht ausschließlich die Größe des Zustandsraums – es fragt nie nach einem Seed, einer Adresse oder einer Geräte‑ID.

01
Fall ladenJede Voreinstellung entspricht einer dokumentierten Entropieschätzung.
02
Entropie ändernDie Skala ist log₂: ein zusätzliches Bit verdoppelt die Zustände.
03
Synthetische Rate festlegenZum Vergleich von Skalen – keine Aussage über reale Cracking‑Hardware.
GELADENER FALLColdcard Mk2 / Mk3
2⁴⁰
0 BitJeder Block = 8 Bit128 Bit
Gesamtzustände1.10 × 10¹²
Durchschnittliche Versuche5.50 × 10¹¹
Vollständiger Durchlauf bei 1B/s18 Minuten 20 Sekunden
Im Vergleich zu 128 Bit2⁸⁸× kleinerer Schlüsselsraum≈3,09 × 10²⁶‑mal kleiner

Lesen Sie das korrekt. Kosten für Kandidatenableitung und -verifikation variieren je nach Wallet, Chain und Angriffsbedingungen. Dies ist ein transparenter Schlüsselsraum‑Vergleich bei 1 Milliarde Kandidaten pro Sekunde, nicht die Vorhersage, dass ein bestimmtes Wallet in der angezeigten Zeit geknackt wird.

Coldcard · veröffentlicht am 30. Juli 2026

Der Hardware‑RNG war vorhanden. Der Seed‑Generator nutzte ihn nicht.

Das ist Coinkites eigene Feststellung. Ein Firmware‑Integrationsfehler leitete die Wallet‑Erzeugung über MicroPython‑s fallback‑Modus anstatt über den Hardware‑RNG, den das Gerät verwenden sollte. Die resultierenden Wörter sahen normal aus. Die Wallets funktionierten. Der Suchraum jedoch nicht.

Mär 2021
DIE REGRESSION

Eine Funktion wurde geändert. Das Sicherheitsmodell änderte sich mit ihr.

Im März 2021 wurde die Wallet‑Erzeugung vom board‑spezifischen RNG‑Pfad zu ngu.random.bytes(). Der Build löste diesen Aufruf zu MicroPython‑Software‑Fallback auf. Der beabsichtigte RNG‑Code war in der Firmware vorhanden. Die Seed‑Erzeugung erreichte ihn jedoch nicht.

Der Fehler Prüfer bestätigten, dass die Hardware‑RNG‑Implementierung existierte. Sie prüften nicht, ob die Implementierung vom Seed‑Erzeugungsaufruf erreicht wurde.
MK2 / MK3
MK2 / MK3 · 4.0.1–4.1.9

128‑Bit‑Sicherheit sank auf etwa 40 Bit.

Das ist Coinkites aktuelle, vorläufige Schätzung für betroffene Mk2/Mk3‑Seeds. Das Angriffsmodell reduziert das Gerät‑ und Zeit‑State; eine öffentliche Adresse ermöglicht dem Angreifer anschließend, Kandidaten offline zu testen.

expected ≥ 2¹²⁸estimated ≈ 2⁴⁰
MK4 / Q / MK5
MK4 / Q / MK5

Die neueren Geräte waren besser. Sie waren dennoch betroffen.

Spätere Modelle mischten Secure‑Element‑Material in den State, doch nur ein Teil davon überstand den Reseed‑Pfad. Coinkite schätzt etwa 72 Bit. Korrigierte Releases sind 5.6.0 für Mk4/Mk5, 1.5.0Q für Q und Edge 6.6.0X/6.6.0QX. Seeds, die vor diesen Releases erstellt wurden, werden durch ein Firmware‑Update nicht sicher.

expected ≥ 2¹²⁸estimated ≈ 2⁷²
30 JUL 2026
DER TEIL, DEN EIN UPDATE NICHT BEHEBEN KANN

Der Bug wurde behoben. Die alten Seeds jedoch nicht.

Firmware kann den nächsten Seed korrigieren. Sie kann den bereits über das Geld bestimmenden Seed nicht überschreiben. Coinkite rät betroffenen Nutzern, mit der korrigierten Firmware einen komplett neuen Seed zu erzeugen und das Geld zu transferieren.

Verifizieren Sie das neue Backup, den Fingerabdruck und die Empfangsadresse. Senden Sie zuerst einen kleinen Test. Den Rest erst nach Ankunft transferieren.Gekürzt aus Coinkites offizieller Migrationsanleitung

Das war nicht das erste Mal

Wallet‑Software hat bereits vorher erratbare Geheimnisse erzeugt.

Kein „theoretisches Risiko“. Keine „schlechte Nutzerhygiene“. Funktionsfähige Wallets erzeugten gültige Phrasen aus Bereichen, die ein Angreifer durchsuchen konnte. Anschließend wurden echte Gelder bewegt.

2026

FALL 01 · COLDCARD · VENDOR ADVISORY

Das Gerät verfügte über einen Hardware‑RNG. Die Seed‑Generierung hat ihn übersehen.

  • Ausgabe: gültige BIP39‑Seeds
  • Aktuelle Schätzung: ≈40 Bit bei betroffenen Mk2/Mk3; ≈72 Bit bei späteren Modellen
  • Bekannte Auswirkung: Risiko bestätigt; zitierte Advisory quantifiziert Diebstahl nicht
  • Persistenz: Firmware‑Update repariert keinen alten Seed
  • Reaktion: korrigierte Firmware, neuer Seed, verifizierte Migration
Technischer Bericht des Anbieters
2023

FALL 02 · TRUST WALLET · CVE-2023-31290

Jeder mögliche Seed passte in eine 32‑Bit‑Datei.

  • Ursache: Mersenne‑Twister in einem WebAssembly‑Pfad
  • Raum: etwa vier Milliarden mögliche Generator‑Eingaben
  • Harter Beweis: Ledger Donjon erzeugte das komplette Seed‑Set
  • Umfang: neu erstellte Erweiterungs-Wallets, keine importierten Seeds
Ledger Donjon Offenlegung
2023

FALL 03 · MILK SAD · CVE-2023-39910

Vierundzwanzig Wörter. 32 Bit Systemzeit.

  • Betroffen: bx seed in Libbitcoin Explorer 3.0.0–3.6.0
  • Ursache: Mersenne Twister, gesät mit 32 Bit Systemzeit
  • Auswirkung: Über 2.600 Wallets beobachtet; ≈ 900 K$ Schaden
  • Persistenz: Das Importieren des Seeds in Hardware stärkt ihn nicht
Milk Sad technische Offenlegung

DIE ANZAHL DER WÖRTER BEWEIST ALLES ALLEIN NICHT

Vierundzwanzig Wörter können immer noch nur 32 Bit Unsicherheit enthalten.

BIP39 wandelt Entropie in lesbare Wörter um und fügt eine Prüfsumme hinzu. Es prüft nicht, woher die Entropie stammt. Gibt man ihm einen von 2³² vorhersehbaren Zuständen, liefert es eine vollkommen gültige 24‑Wort‑Phrase. Die Prüfsumme besteht. Der Angreifer hat danach nur noch 2³² Kandidaten.

Die einzige sinnvolle Frage

Wissen Sie, wo Ihr Seed herkommt?

Nicht, wo er jetzt gespeichert ist. Wo er erzeugt wurde, mit welcher Version, aus welcher Zufallsquelle. Acht Fakten. Keine Seed‑Analyse. Kein falsches Zertifikat.

ERZEUGUNGSDATEN / 8 FAKTENFrage 1 von 8
0%
01 · ERZEUGUNGS‑URSPRUNGWo wurde der Seed zuerst erzeugt?

Das heute haltende Wallet muss nicht dasjenige sein, das ihn erstellt hat.

02 · VERSIONS‑HerkunftKönnen Sie die zum Erstellen des Seeds verwendete Version nachweisen?

Ein späteres Update ändert das alte Schlüsselmaterial nicht rückwirkend.

03 · ENTRUPIE DESIGNWelche Evidenz unterstützt die Zufallsquelle?

Mehr Wörter und eine bestandene Prüfsumme beweisen keine Unvorhersehbarkeit.

04 · MENSCHLICHE WAHLHat eine Person Seed‑Wörter ausgewählt, neu angeordnet oder ersetzt?

Menschen erzeugen Muster – selbst wenn das Ergebnis zufällig erscheint.

05 · BACKUP‑ISOLIERUNGWurde der Seed jemals auf ein vernetztes oder kameraausgestattetes Gerät übertragen?

Starke Erzeugung kann ein kopiertes Geheimnis nicht ausgleichen.

06 · WIEDERHERSTELLUNGSVERIFIZIERUNGWie wurde das Backup getestet?

Ein Tippfehler kann ein anderes gültiges Wallet erzeugen, anstatt einen offensichtlichen Fehler zu zeigen.

07 · PASSPHRASE‑DISZIPLINWenn Sie eine BIP39‑Passphrase verwenden, ist ihr Fehlermodus verstanden?

Jeder Tippfehler erzeugt eine gültige, aber andere Wallet; geht die Passphrase verloren, geht der Zugriff verloren.

08 · MIGRATIONS‑BEREITSCHAFTKönnten Sie einen betroffenen Seed ersetzen, ohne zu improvisieren?

Ein überstürztes Migrieren kann einen unmittelbareren Verlust verursachen als die Empfehlung.

Was wir mit Ihren Antworten tun

Nichts. Der Audit läuft in diesem Browser‑Tab. Es wird keine Anfrage gesendet, nichts gespeichert, und wir sehen das Ergebnis nie. Die Zahl ordnet lediglich die von Ihnen ausgewählten Lücken; sie kann die Entropie eines bestehenden Seeds nicht messen.

Falls der Generierungspfad betroffen war

Das Software‑Update ist nicht die Abhilfe. Das Verschieben der Gelder ist es.

Verwenden Sie die genaue Advisory des Anbieters. Die Reihenfolge ist entscheidend: zuerst prüfen, klein testen, zuletzt verschieben. Panik führt dazu, dass ein kompromittierter Seed zu zwei verlorenen Wallets wird.

01

BEVOR SIE DIE GELDER ANFASSEN

Beweisen Sie, welcher Generator den Seed erstellt hat.

  • Protokollieren Sie Generator, Modell, Version und Erstellungsdatum.
  • Unterscheiden Sie generierte Seeds von importierten Seeds.
  • Lesen Sie die aktuelle offizielle Advisory vollständig.
  • Fügen Sie den Seed nicht in eine Website oder einen "Scanner" ein.
02

ERSTELLEN SIE DEN ERSATZ

Neuer Seed. Korrigierter Code. Verifiziertes Backup.

  • Überprüfen Sie das korrigierte Release und dessen Authentizität.
  • Generieren Sie einen völlig neuen Seed – ändern Sie niemals die alten Wörter.
  • Sichern Sie ihn, bevor Sie Gelder erhalten.
  • Führen Sie einen Power‑Cycle oder eine Wiederherstellung durch; vergleichen Sie Fingerabdruck und Adresse.
Ein Update ändert den Code. Nur ein neuer Seed ändert das Geheimnis.
03

ERZEUGEN SIE KEINEN ZWEITEN VORFALL

Klein testen. Verifizieren. Dann den Rest verschieben.

  1. Verifizieren Sie eine Empfangsadresse auf dem vertrauenswürdigen Display.
  2. Senden und bestätigen Sie einen kleinen Testbetrag.
  3. Überprüfen Sie das Ziel erneut aus dem neuen Wallet.
  4. Verschieben Sie den verbleibenden Kontostand.
  5. Bewahren Sie das alte Backup auf, bis die Migration bestätigt ist.

Ignorieren Sie unaufgeforderte Wiederherstellungsangebote. Sie benötigen Ihren Seed nicht.

OPFER SICHERHEIT / WIEDERHERSTELLUNG‑BETRUG LESEN, BEVOR SIE ZAHLEN

Eine Anfrage von PhishDestroy

Wenn sie Sie einmal bestohlen haben, kaufen Sie die zweite Lüge nicht.

Wenn jemand anbietet, ein Wallet per Brute‑Force zu knacken, einen Betrüger „zurückzuhacken“ oder die Wiederherstellung gegen Vorauszahlung zu garantieren, gehen Sie davon aus, dass Sie einem zweiten Angriff ausgesetzt sind. Die Person kann zur ursprünglichen Gruppe gehören oder jemand sein, der eine Opfern‑Liste gekauft hat. Ein verantwortungsbewusster Fachmann kann kein Ergebnis garantieren, das er nicht kontrolliert.

ZERO‑TRUST‑REGEL

Vertrauen Sie uns nicht nur, weil wir das geschrieben haben. Vertrauen Sie einer KI nicht, weil sie sicher klingt. Und verlassen Sie sich nicht auf Ihre eigene Gewissheit, wenn Sie schockiert sind. Machen Sie eine Pause. Überprüfen Sie eigenständig. Sprechen Sie mit einer Person, die Sie kennt und kein finanzielles Interesse an der Entscheidung hat.

01 / STOPP

Legen Sie das Telefon weg. Beenden Sie den Chat.

Druck, Geheimhaltung, Schuldgefühle, „Ich habe einen Deal für Sie gemacht“, ein Verbot, mit der Familie zu sprechen, Fernzugriffs‑Software, neue Steuer‑, Gas‑ oder Aktivierungsgebühren oder die Bitte um Geldleihe sind Warnsignale. Beenden Sie den Kontakt. Schlafen Sie, bevor Sie eine Entscheidung treffen.

02 / JEMANDEM SAGEN

Zeigen Sie einer vertrauenswürdigen Person die gesamte Unterhaltung.

Ein Betrug, der von innen überzeugend wirkt, kann von außen offensichtlich sein. Teilen Sie die Nachrichten – nicht eine Zusammenfassung – mit einer nahestehenden Person, die nicht involviert ist. Ihre unabhängige Sicht kostet nichts.

03 / SICHERN + MELDEN

Eine Sperrung ist keine Rückerstattung. Bauen Sie den Fall auf.

Speichern Sie Transaktions‑Hashes, Wallet‑Adressen, URLs, Benutzernamen, Telefonnummern, Nachrichten, Sprachnotizen, Belege und Zeitstempel. Melden Sie dies bei der örtlichen Strafverfolgung und bei Chainabuse. Auch wenn eine Börse Vermögenswerte sperrt, erfordert eine rechtmäßige Rückgabe in der Regel einen offiziellen Fall, Eigentumsnachweis und Ihre Mitarbeit.

Ein Wallet, das Ihnen nicht gehört, ist kein Wiederherstellungsziel.

Lassen Sie nicht zu, dass Ihr Verlust dazu benutzt wird, Sie zu unautorisiertem Zugriff, Diebstahl, Geldwäsche, einem durch Ihr Haus gesicherten Darlehen oder irgendeiner von einem Fremden am Telefon angeordneten Handlung zu rekrutieren.

GitHub‑Stars machen “wallet brute-force”-Software nicht sicher.

Laden Sie keine “mega-brute”-Tools oder andere Programme herunter, die versprechen, Millionen von Schlüsseln zu durchsuchen und Bitcoin zu finden. Eine Binärdatei kann Wallet‑Dateien, Passwörter und Seed‑Phrasen stehlen, den Computer in ein Botnetz einbinden oder für den Betreiber auf Ihrer GPU schürfen. VirusTotal kann bekannte Erkennungen anzeigen, aber ein sauberes Ergebnis beweist keine Sicherheit. Wenn Sie den Code nicht eigenständig prüfen und seine Ausführung isolieren können, führen Sie ihn nicht aus. Der Versuch, auf eine Wallet zuzugreifen, die Ihnen nicht gehört, kann Sie zudem ernsthaften rechtlichen Konsequenzen aussetzen.

PhishDestroy stellt weder die Wiederherstellung von Geldern, noch Beratung zur Wiederherstellung, behandelt keine privaten Wiederherstellungsfälle und empfiehlt keine kostenpflichtigen Wiederherstellungsagenten. Unsere Aufgabe ist es, Phishing und Betrug zu identifizieren, Beweise zu sichern und deren Infrastruktur über Registrare, Hoster und Sicherheitsdienste zu stören. Die Wiederbeschaffung von Vermögenswerten ist Aufgabe von Strafverfolgungsbehörden, Börsen und anderen Organisationen, die rechtlich befugt sind, sie zu sperren oder zurückzugeben; wir nehmen an diesem Prozess nicht teil. Ein Bericht kann keine Rückerstattung garantieren, aber er kann Adressen verknüpfen, Beweise sichern und das nächste Ziel warnen. Schweigen kann das nicht.

Ein legitimer Bericht erfordert weder Ihre Seed‑Phrase noch Ihren privaten Schlüssel. Senden Sie weder das eine noch das andere niemals an die Polizei, eine Börse, einen Ermittler, PhishDestroy, eine KI oder irgendjemanden, der vorgibt, Sie zu unterstützen.

Die Evidenzgrenze

Was wir wissen. Was wir nicht wissen.

KANN

Ordnen Sie Ihre Antworten bekannten Coldcard‑Advisory‑Bedingungen zu, ohne Geheimnisse zu sammeln.

KANN

Enthüllen Sie fehlende Herkunfts‑, Backup‑, Wiederherstellungs‑ und Migrationskontrollen.

KANN NICHT

Die Entropie eines bestehenden Seeds anhand seiner Wörter oder öffentlichen Adresse messen.

KANN NICHT

Beweisen Sie, dass ein Wallet nicht kompromittiert, wiederherstellbar oder sicher zu finanzieren ist.

Keine magischen Antworten

Die Fakten, ohne Wallet‑Folklore.

Jede nachfolgende Antwort leitet sich aus der Spezifikation oder den Vorfall‑Offenlegungen ab.

Beweist eine gültige 12‑ oder 24‑Wort‑Phrase, dass sie zufällig ist?

Nein. BIP39 definiert eine Kodierung und Prüfsumme. Ein schwacher Generator kann eine gültige Phrase aus einer kleinen, vorhersehbaren Menge von Zuständen erzeugen.

Repariert ein Firmware‑Update einen alten schwachen Seed?

Nein. Ein Update kann nur die zukünftige Generierung reparieren. Beim Coldcard‑Problem 2026 weist Coinkite betroffene Nutzer an, einen neuen Seed auf korrigierter Firmware zu erstellen und die Gelder zu migrieren, sofern nicht die unabhängige‑Würfel‑Ausnahme greift.

Sind 24 Wörter automatisch sicherer als 12?

Nur wenn die zugrunde liegende Entropie sicher ist. Vierundzwanzig Wörter können 256 Bit kodieren, aber die Umwandlung eines 32‑Bit‑Generatorzustands in 24 Wörter erzeugt nicht 256 Bit Unvorhersehbarkeit.

Kann das Importieren eines schwachen Seeds in ein Hardware‑Wallet das Problem beheben?

Nein. Derselbe Seed leitet dieselben Schlüssel ab. Ein neues Gerät kann die spätere Nutzung schützen, aber es kann keine Entropie zu bereits vorhandenem Schlüsselmaterial hinzufügen.

Sollte ich meinen Seed in einen Entropie‑Checker eingeben?

Niemals. In der Regel lässt sich die Qualität des ursprünglichen Generators nicht allein aus den Wörtern beweisen, und das Eingeben in eine Website legt das Root‑Geheimnis des Wallets offen.

Kann diese Prüfung beweisen, dass das Wallet sicher ist?

Nein. Sie dokumentiert, was Sie über den Generierungspfad wissen. Sie kann vergangene Entropie nicht prüfen oder das Wallet zertifizieren. Eine unbekannte Generator‑Version oder ein einschlägiger Hinweis überschreibt das Ergebnis.

Originale lesen

Nehmen Sie uns nicht beim Wort.

Die Hersteller‑Hinweise, Source‑Path‑Analysen und technischen Offenlegungen finden Sie unten. Lesen Sie sie. Die Coldcard‑Untersuchung war noch in Entwicklung, als diese Fallakte aktualisiert wurde.

  1. 01
    Coinkite — Coldcard Sicherheits‑Hinweis

    Betroffene Modelle und Release‑Tracks, Würfel‑Ausnahme, Hotfix‑Versionen und Migrationsanweisungen. Veröffentlicht am 30. Juli 2026; aktualisiert am 1. August 2026.

  2. 02
    Coinkite — Technische Tiefenanalyse des Entropie‑Problems

    Ursache, aktuelle 40‑Bit/72‑Bit‑Schätzungen, Build‑Fehler und Details zur Behebung.

  3. 03
    Block Engineering — Vorhersehbarer RNG‑Fallback

    Unabhängige Source‑Path‑Analyse, Vorbehalte und Grenzen des Suchraums. Block weist darauf hin, dass seine Analyse frühzeitig und keine vollständige empirische Validierung war.

  4. 04
    Ledger Donjon — Offenlegung der Trust‑Wallet‑Erweiterung

    32‑Bit‑Entropie im WebAssembly‑Generierungspfad und Aufzählung aller möglichen Seeds.

  5. 05
    Milk Sad — CVE‑2023‑39910 Technische Offenlegung

    Libbitcoin Explorers 32‑Bit, zeitbasierter Mersenne‑Twister; über 2.600 beobachtete Wallets und etwa 900 000 $ an verbundenem Schaden.

  6. 06
    Bitcoin BIPs — BIP39‑Spezifikation

    Beziehungen zwischen Entropie, Prüfsumme und Mnemonic‑Länge; die Spezifikation besagt, dass das Mnemonic computer‑generierte Zufälligkeit transportiert.

  7. 07
    Coldcard Dokumentation — Master‑Seed

    Aktuelle Generation, Würfel‑ und Backup‑Anweisungen. Befolgen Sie den Hinweis vor der allgemeinen Dokumentation, wenn Sie auf das Problem von 2026 reagieren.

  8. 08
    Milk Sad FAQ — Bestehende schwache Wallets

    Warum das Patchen von Software zuvor generierte Wallets nicht repariert und warum das Importieren schwachen Materials es nicht schützt.

Beweisgrenze. Wir stehen in keiner Verbindung zu einem hier genannten Unternehmen. Wir behaupten nicht, dass jedes betroffene Wallet gestohlen wurde, und eine öffentliche Adresse enthüllt keinen Seed per se; sie ermöglicht einem Angreifer, Kandidaten aus dem reduzierten Suchraum zu verifizieren. Fakten können sich ändern, solange die Coldcard‑Untersuchung fortschreitet. Senden Sie Korrekturen über verantwortungsvolle Offenlegung.