Wie schwer ist Ihre Wiederherstellungsphrase zu erraten? ColdCard machte es leicht

Dieser Artikel ist als leicht verständliche Erklärung verfasst. Zur besseren Lesbarkeit wurden einige technische Details vereinfacht oder in Analogien gefasst und können von den tatsächlichen Abläufen unter der Haube abweichen. Wenn Sie Entscheidungen zur Absicherung echter Assets treffen müssen, richten Sie sich bitte nach den offiziellen Bekanntmachungen und konsultieren Sie einen Fachmann.

Am 30. Juli 2026 ereignete sich etwas Ungewöhnliches in der Bitcoin-Chain: Innerhalb von nur 15 Minuten überwiesen 500 Adressen rund 594,48 BTC (ca. 38 Millionen USD) an eine einzige Adresse. Kurz darauf wurden etwa 562 BTC davon an eine weitere Adresse weitergeleitet. Dies war offensichtlich keine normale Transferaktivität, und es wurde später bestätigt, dass es sich dabei um einen Hacker handelte, der gestohlene Gelder verschob. On-Chain-Datensatz

500 Quelladressen → eine Konsolidierungsadresse (~594.48 BTC / ~$38M) → eine zweite Adresse (~562 BTC)

Als sich nacheinander Opfer meldeten, zeigte sich ein gemeinsamer Nenner: Sie alle hatten eine Coldcard-Hardware-Wallet verwendet. Noch am selben Tag gab Coinkite, der Hersteller von Coldcard, eine Sicherheitswarnung heraus. Sowohl deren offizielle Untersuchung als auch unabhängige technische Analysen bestätigten es: Bei der ColdCard-Wallet war tatsächlich etwas schiefgelaufen. Das Problem lag in der Art und Weise, wie Zufallszahlen generiert wurden, was bedeutete, dass ein Angreifer eine Coldcard überhaupt nicht physisch knacken musste. Sie mussten lediglich die Wiederherstellungspyhrase des Benutzers erraten, um die Gelder leerzuräumen.

Was ist hier also eigentlich passiert?

Der gesamte Vorfall ging bei einem ganz bestimmten Schritt schief: der Generierung der Wiederherstellungspyhrase.

Hierzu eine Analogie: Normalerweise greift eine Hardware-Wallet beim Generieren einer Wiederherstellungspyhrase in einen nahezu unendlichen Tresor voller Schlüssel, zieht zufällig einen heraus und händigt ihn Ihnen aus – und dieser Schlüssel öffnet einen Safe, der ganz allein Ihnen gehört. Aber die Software von Coldcard hatte einen Bug, und der Bereich, aus dem die Schlüssel bezogen wurden, schrumpfte von diesem gesamten Tresor auf eine einzige kleine Schublade zusammen. Man muss nun einfach die Schlüssel in dieser Schublade der Reihe nach ausprobieren: Jeden, der etwas öffnet, räumt man aus.

Diese Analogie trifft es natürlich nicht ganz, aber das Prinzip stimmt. Genauer gesagt: Ein fehlerhaftes Update des Firmware-Teams von ColdCard führte dazu, dass die Wallet beim Generieren einer Wiederherstellungspyhrase nicht auf den sichereren Hardware-Zufallszahlengenerator zugreifen konnte und stattdessen einen „pseudo-zufälligen“ Software-Zufallszahlengenerator verwendete. Das dabei erzeugte „Passwort“, sprich die Wiederherstellungspyhrase, war schlicht und einfach nicht sicher genug, und das führte zu diesem Vorfall.

An dieser Stelle fragen Sie sich vielleicht: Was hat meine Wiederherstellungspyhrase mit Zufallszahlen zu tun? Wie hat der Hacker das Passwort für den Safe gefunden? Und was ist überhaupt ein Zufallszahlengenerator? Moment, ich erkläre es Ihnen.

Was steckt wirklich hinter einer Recovery-Phrase?

Warum beweist eine Recovery-Phrase, dass die Assets Ihnen gehören?

Bevor wir uns damit befassen, woher eine Recovery-Phrase stammt, müssen wir eines klarstellen: die Beziehung zwischen Ihren Assets, Ihrer Wallet und Ihrer Recovery-Phrase.

Eine Recovery-Phrase ist eigentlich nicht wie ein Schlüssel zu einem Safe. Im zugrundeliegenden Design einer Blockchain liegen Ihre Assets die ganze Zeit über offen in der Chain, wie Bargeld in einer Bank. Auf dem Bargeld selbst steht kein Name des Besitzers, jeder kann es sehen, und theoretisch hat jeder das Recht, etwas damit zu tun. Aber natürlich kann nicht einfach jeder unbegrenzte Beträge abheben. Das liegt daran, dass die Chain Sie vor jeder Überweisung auffordert, einen „Nachweis“ zu erbringen, dass Sie diese Assets halten und dass sie Ihnen gehören – und dieser „Nachweis“ ist Ihre Recovery-Phrase.

Mit anderen Worten: Wer auch immer die Recovery-Phrase in der Chain eingibt, dem gehören die Assets, auf die sie verweist, selbst wenn die bedienende Person nicht Sie sind, da die Chain lediglich sieht, dass jemand einen gültigen Eigentumsnachweis erbracht hat.

Jemand initiiert eine Überweisung → die Chain fordert einen Nachweis an → eine von der Recovery-Phrase abgeleitete Signatur → verifiziert, die Assets können bewegt werden

Die Chain vertraut Beweisen, nicht Menschen.

Eine Recovery-Phrase gleicht daher eher einer Eigentumsurkunde oder einem offiziellen Siegel mit einer „besonderen Nummer“. Das Siegel selbst ist leicht zu fälschen; was es tatsächlich fälschungssicher macht, ist die besondere „Nummer“, die es trägt, und dem Design nach ist es für jeden anderen im Wesentlichen unmöglich, diese Nummer zu erraten.

Die ganze Frage läuft also auf diese Kette von „Nummern“ hinaus. Woher kommt sie? Und wie schützt sie Ihre Assets?

Wie wird aus Zahlen eine Recovery-Phrase in Form von Wörtern?

Wir alle wissen, dass Computer mit Binärcode arbeiten. Text, Bilder, Passwörter – sobald sie sich im Computer befinden, enden sie alle als eine Kette aus Nullen und Einsen. Recovery-Phrasen bilden da keine Ausnahme.

Im Inneren eines Computers könnte das zum Beispiel so aussehen:

010101000010

Aber Sie fragen sich vielleicht: Eine Recovery-Phrase besteht aus einer Reihe englischer Wörter, nicht aus Zahlen. Wie um alles in der Welt entsteht sie aus dieser Kette von Nullen und Einsen?

Das ist eigentlich gar nicht so kompliziert. Wir beginnen mit der Erstellung eines „Wörterbuchs“, das festlegt, welcher Zahlenblock auf welches Wort abgebildet wird. Um es einfach zu halten, stellen wir ein winziges Wörterbuch mit nur 16 Wörtern zusammen:

Als Nächstes teilen wir diesen Code in drei Teile auf:

0101 | 0100 | 0010

Dann nehmen wir diese drei Abschnitte und schlagen sie im Wörterbuch nach:

0101 → squirrel
0100 → coffee
0010 → moon

Und schwuppdiwupp verwandelt sich eine Binärzeichenfolge, die fast unmöglich zu lesen ist, in drei Wörter, die sich leicht aufschreiben lassen:

squirrel　coffee　moon

Das ist das Kernprinzip hinter einer Wiederherstellungsphrase: Es ist keine Reihe von Wörtern, die aus dem Nichts aufgetaucht ist. Es ist eine einzige lange Zahl, die in viele kleine Abschnitte unterteilt ist, wobei jeder Abschnitt mithilfe einer festen Wörterliste in ein Wort übersetzt wird.

Natürlich ist eine echte Wiederherstellungsphrase etwas komplexer als dieses Beispiel: Die Wörterliste ist größer, die Zahl ist länger und es werden Prüfsummeninformationen hinzugefügt. Aber die Kernlogik ändert sich nicht. Eine Wiederherstellungsphrase ist einfach eine andere Art, diese Zahlenfolge auszudrücken – eine, die für Menschen einfacher aufzuschreiben, zu speichern und wiederherzustellen ist.

Wie schwer ist es eigentlich, 24 Wörter zu erraten?

Nun, da das geklärt ist, können wir endlich über echte Wiederherstellungsphrasen sprechen. Es gibt heutzutage eine ganze Reihe von Standards für deren Generierung, die man sich einfach als viele verschiedene „Wörterbücher“ vorstellen kann. Nehmen wir den am häufigsten verwendeten, BIP-39, und sprechen wir darüber, woher die Sicherheit einer Wiederherstellungsphrase eigentlich kommt.

Das BIP-39-Wörterbuch enthält volle 2.048 Wörter, weit mehr als das in unserem Beispiel verwendete, aber es funktioniert im Wesentlichen genauso. Es ist ebenfalls aus einer sehr langen Binärzeichenfolge herausgeschnitten. Genauer gesagt stammt es aus einer 264-Bit-Zeichenfolge, bei der alle 11 Bits ein Wort repräsentieren und jedes Wort 2^11, also 2.048, Möglichkeiten bietet, was exakt den 2.048 Wörtern im Wörterbuch entspricht.

Aber Computer arbeiten im Binärsystem, und die von ihnen generierten Zufallszahlen können nur in Vielfachen von 2 vorkommen, sodass man keine 264-Bit-Zufallszahl direkt generieren kann. Was wir stattdessen tun können, ist, zuerst eine 256-Bit-Zufallszahl generieren zu lassen und dann die ersten 8 Ziffern an das Ende zu setzen. Jetzt haben wir 264 Bits, genug für eine 24-wortige Wiederherstellungsphrase.

Erinnern Sie sich an das, was wir gerade durchgegangen sind? Die Sicherheit der Wiederherstellungsphrase, unseres „offiziellen Siegels“, stammt von einer speziellen Zahlenfolge, und diese Zahl ist die Zufallszahl hinter der Phrase. Wir haben auch gesagt, dass das Siegel gerade deshalb sicher ist, weil niemand erraten kann, welche Zahl darauf steht. Sie werden offenkundig nicht die Vermögenswerte von jemandem beanspruchen, indem Sie eine falsche Zahl erraten. Wie schwer ist es also, diese Zahl zu erraten? Das hängt von der Länge der Zufallszahl ab: Eine 256-Bit-Zufallszahl hat volle 2^256 Möglichkeiten, was 2^256 mögliche Wiederherstellungsphrasen oder 2^256 mögliche Wallet-Adressen bedeutet.

Wie groß ist diese Zahl eigentlich? Die Zahl der Elementarteilchen im beobachtbaren Universum wird üblicherweise auf etwa 10^80 geschätzt, während 2^256 ≈ 10^77 ist. Mit anderen Worten: Wir könnten jedem beobachtbaren Teilchen im Universum fast eine Wallet-Adresse geben. Und die gesamte menschliche Bevölkerung beträgt nur etwa 2^33, sodass immer noch jeder rund 2^223 Adressen erhalten könnte, was einer 1 gefolgt von 67 Nullen entspricht:

10,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000

Ein Hacker, der versucht, Ihre Recovery Phrase zu erraten, gleicht also dem Versuch, genau die eine Adresse herauszufinden, die ein Guthaben hält, und zwar aus all diesen Adressen heraus. Das ist extrem schwierig.

Aber an dieser Stelle mag sich jemand fragen: Könnte ein Computer versehentlich zwei identische Wallet-Adressen generieren? Dann könnte derjenige, der als Zweiter dran ist, einfach mit den Vermögenswerten der ersten Person verschwinden, oder? Gute Frage, und diese Möglichkeit existiert rein technisch gesehen. In der realen Welt wird das jedoch nicht passieren. Bei zwei unabhängig und korrekt generierten 24-Wörter-BIP-39-Recovery-Phrasen liegt die Wahrscheinlichkeit, dass sie identisch sind, bei 1 / 2^256 ≈ 8.6 × 10^-78.

Zum Vergleich: Glaubwürdige Studien schätzen die Wahrscheinlichkeit, dass die Erde in der nächsten Sekunde von einem Gammastrahlenausbruch getroffen wird, der stark genug ist, um ein Massenaussterben auszulösen, auf etwa 4.4 × 10^-17. Das bedeutet, dass eine Kollision von Recovery-Phrasen etwa 5 × 10^60 Mal unwahrscheinlicher ist als ein Massenaussterben.

Das gibt Ihnen eine Vorstellung davon, wie schwer es ist, eine Recovery Phrase zu erraten.

Was genau hat ColdCard also falsch gemacht?

Von 2^256 runter auf 2^40

Wenn man erst einmal verstanden hat, was wirklich hinter einer Wiederherstellungsphrase steckt, lässt sich leicht nachvollziehen, was ColdCard falsch gemacht hat.

Ein fehlerhaftes Update des ColdCard-Teams führte dazu, dass bei der Generierung von Wiederherstellungsphrasen statt der eigentlich möglichen 2^256 Phrasen nur 2^40 herauskamen – eine astronomische Lücke im Ausmaß. Man könnte sich durchaus fragen, wie eine 40-Bit-Zufallszahl 24 Wörter erzeugt, aber hängen Sie sich daran nicht auf. Alles, was Sie wissen müssen, ist, dass dieser Bug die Wahrscheinlichkeit, dass eine von ColdCard generierte Wallet-Adresse erraten werden konnte, drastisch erhöhte.

Es lohnt sich, beim Umfang präzise zu sein: Verschiedene Modelle waren in unterschiedlichem Maße betroffen. Die hier diskutierten rund 40 Bit betreffen hauptsächlich den Mk2 und Mk3, während die Schätzung für den Mk4, Mk5 und Q bei etwa 72 Bit liegt.

Stellt man die beiden nebeneinander, springt die Antwort förmlich ins Auge: Insgesamt gab es von ColdCard nur 1.099.511.627.776 mögliche Wiederherstellungsphrasen. Für einen Hacker bedarf es nur einer Hochleistungsmaschine, die diese nacheinander durchrechnet, und es besteht eine reale Chance, mit den Funds zu verschwinden. Das ist immer noch harte Arbeit, aber es bewegt sich nicht mehr in einem Rahmen, den die Menschheit zu diesem Zeitpunkt nicht bewältigen könnte.

Selbst zu diesem Zeitpunkt war die Lage noch nicht katastrophal. 1.099.511.627.776 ist immer noch eine ziemlich große Zahl, und rechnet man noch die Netzwerklatenz hinzu, hätte ein Hacker jahrelange Versuche gebraucht, um auf eine Adresse mit Guthaben zu stoßen.

Leider bedeutete der Fehler von ColdCard auch, dass selbst die Methode zur Generierung dieser möglichen Werte nachvollziehbar war, was den Schwierigkeitsgrad enorm reduzierte.

Warum lassen sich softwaregenerierte Zufallszahlen erraten?

Das liegt daran, dass die Zufallszahlen, die ColdCard für Wiederherstellungsphrasen verwendete, von einem „Software-Zufallszahlengenerator“ stammten, und streng genommen ist jeder Generator dieser Art „pseudozufällig“ und sein Algorithmus lässt sich zurückverfolgen. Warum behaupte ich das?

Denken Sie zunächst darüber nach, was Zufall eigentlich ist. Nehmen wir an, wir werfen eine Münze. Normalerweise sagen wir, dass Kopf und Zahl jeweils eine Chance von 50 % haben und zufällig auftreten. Das liegt daran, dass die Flugbahn der Münze durch alle möglichen Faktoren beeinflusst wird, während sie durch die Luft wirbelt: wie stark wir sie geschnippt haben, die Erdgravitation, die Stärke und Richtung der Klimaanlage im Raum, der Coriolis-Effekt und selbst winzige Vibrationen durch Bewegungen in der Erdkruste – Faktoren, an die wir denken können, und viele, an die wir nicht denken. Zusammengenommen machen sie es unmöglich, den Flug der Münze durch die Luft zu berechnen, weshalb wir das Ergebnis nicht vorhersagen können und akzeptieren, dass ein Münzwurf „zufällig“ ist.

Aber ein „Software-Zufallszahlengenerator“ läuft nach einem festen Algorithmus ab. Im Allgemeinen nimmt er eine Handvoll Anfangsbedingungen, jagt sie durch einen festen Algorithmus und erzeugt eine feste Zufallszahl. Anders ausgedrückt: Solange wir diese wenigen Anfangsbedingungen kennen, wissen wir, welche Zufallszahl er erzeugen wird und wie folglich die Wiederherstellungsphrase lauten wird.

Und wie es der Zufall will, sind die Anfangsbedingungen, die Menschen typischerweise verwenden, Dinge wie der Zeitstempel bei der Generierung, der Zeitstempel des Gerätestarts, die Seriennummer des Geräts und so weiter. Das bedeutet, dass ein Hacker lediglich vernünftige Vermutungen über diese Zahlen anstellen und dann einen Algorithmus entwerfen muss, um die von ColdCard generierten Wiederherstellungsphrasen zu knacken. Mit anderen Worten: Der Hacker muss keineswegs blind raten, da die Art und Weise, wie die Phrase generiert wird, ohnehin einem Muster folgt.

Wie sorgt ein Hardware-Zufallszahlengenerator tatsächlich für Sicherheit?

Die Wurzel von alledem ist, dass ColdCard keinen „wahren Zufallszahlengenerator“ verwendet hat, das heißt den Hardware-Zufallszahlengenerator im Inneren des Secure-Element-Chips. Wie bereits erwähnt, ist ein gewöhnlicher Software-PRNG eine deterministische Formel:

device ID + time + algorithm → random number

Wenn ein Angreifer die Geräte-IDs und das Timing enumerieren kann, kann er jedes Ergebnis neu berechnen.

Ein wahrer Zufallszahlengenerator hingegen greift auf physikalische Phänomene zurück, wie zum Beispiel:

• thermisches Rauschen in Schaltkreisen;
• Oszillator-Jitter;
• Transistor-Metastabilität;
• Lawinenrauschen (Avalanche Noise);
• Quantenrauschen bei einigen Geräten;
• zufällige Speicherfehler, die durch kosmische Strahlung verursacht werden.

und so weiter, um die Wiederherstellungsphrase zu generieren, ähnlich wie bei einem Münzwurf, bei dem viele der störenden Faktoren schlicht jenseits menschlicher Vorhersagbarkeit liegen. Der Prozess wird zu folgendem Ablaufschema:

unpredictable physical noise → sample and digitize → condition and hash → seed a cryptographically secure PRNG → generate the recovery phrase

Selbst wenn ein Angreifer das Gerätemodell, die Seriennummer, die Bootzeit und den gesamten Quellcode kennt, kann er dennoch nicht den genauen Wellenverlauf des Rauschens im Schaltkreis zu diesem Moment zurückrechnen. So sieht wahrhaft zuverlässige Zufälligkeit aus.

Entropie, der Maßstab für Zufälligkeit

Was ist Entropie?

„Entropie“ klingt kompliziert, lässt sich aber ganz einfach so beschreiben: Wie viele mögliche Ergebnisse gibt es, bevor das Ergebnis enthüllt wird?

Eine normale Münze hat zwei mögliche Ergebnisse: Kopf und Zahl. Einmaliges Werfen erzeugt 1 Bit Entropie, weil 2^1 = 2. Wirft man sie zweimal, gibt es vier Möglichkeiten (Kopf-Kopf, Kopf-Zahl, Zahl-Kopf und Zahl-Zahl), was 2 Bits Entropie entspricht, da 2^2 = 4. Wenn man so weitermacht, ergeben 256 Würfe 2^256 verschiedene Ergebnisse, was 256 Bits an Zufälligkeit entspricht.

Aber der Schlüssel zur Entropie liegt nicht nur darin, dass die Ergebnisse unordentlich aussehen. Wichtiger ist, dass niemand das Ergebnis im Voraus wissen kann. Wenn eine Münze manipuliert wurde, sodass sie immer auf Kopf landet, erzeugt selbst das 256-malige Werfen immer noch null Entropie, da das Ergebnis von Anfang an vorhersehbar war.

Was ist, wenn Sie nicht einmal dem echten Zufallszahlengenerator vertrauen?

Wenn Sie auch dem echten Zufallszahlengenerator in Ihrem Hardware-Wallet nicht vertrauen, gibt es eine ursprünglichere Option: Werfen Sie eine Münze und erzeugen Sie die Zufälligkeit mit Ihren eigenen Händen.

Notieren Sie Kopf als 0 und Zahl als 1, werfen Sie die Münze 256 Mal und schreiben Sie jedes Ergebnis auf. Das ergibt eine 256-Bit-Binärzahl. Berechnen Sie dann in einer vollständig offline befindlichen Umgebung die Prüfsumme für diese Zahl gemäß dem BIP-39-Standard und wandeln Sie sie in 24 englische Wörter um. Das ist eine vollständige Wiederherstellungsphrase.

flip a coin 256 times → record heads and tails → a 256-bit binary number → compute the BIP-39 checksum → 24 recovery words → import into a hardware wallet

Hier ist ein wichtiger Hinweis: Münzwürfe können nur den Schritt „Zufallszahl generieren“ ersetzen. Sie können das Hardware-Wallet nicht ersetzen. Das Speichern des Wallets, das Ableiten von Adressen und das Signieren von Transaktionen sollten weiterhin in der isolierten Umgebung eines Hardware-Wallets stattfinden. Verbundene Geräte sollten Transaktionen nur überwachen und übertragen und dürfen niemals mit Ihrer Wiederherstellungsphrase in Berührung kommen.

Geben Sie echte Münzwurf-Ergebnisse nicht auf einer Webseite ein und erfinden Sie nicht einfach eine Reihe von Nullen und Einsen, weil es sich zufällig anfühlt. Nur wenn jedes einzelne Ergebnis tatsächlich von einem unvorhersehbaren Wurf stammt, enthält diese Ziffernfolge echte Zufälligkeit.