Bitkey-App nutzte nicht kryptografischen Zufallsgenerator für Kontaktregistrierung
Wer betroffen ist
Bitkey-Nutzer der zweiten Generation, die Recovery Contacts oder Erbschaftsbegünstigte registrierten, verwendeten Geheimnisse, die mit einem vorhersagbaren Zufallsgenerator erzeugt wurden. Bitkey erklärt, dass der Fehler allein keinen Zugriff auf Guthaben verschaffen konnte und kein Kunde betroffen war.
Was passiert ist
Am 2. August 2026 legte Bitkey, die Bitcoin-Wallet von Block, einen Fehler offen, den der X-Nutzer @1440000bytes einen Tag zuvor gemeldet hatte. Bitkeys Seite mit Sicherheitsupdates führt dasselbe Problem als BKS.2026.08.D und nennt als Melder floppy.md.
Laut Bitkey erzeugte die mobile App die kurzen Geheimnisse, mit denen Recovery Contacts und Erbschaftsbegünstigte registriert werden, sowie Nonces in Action Proofs der zweiten Generation mit kotlin.random.Random, einem Allzweck-Generator, der nicht für kryptografische Zwecke ausgelegt ist. Unter engen Voraussetzungen könnte ein Angreifer, der genügend zusammenhängende Ausgaben beobachtet, dessen Zustand rekonstruieren und ein späteres Registrierungsgeheimnis vorhersagen. Bitkey erklärt, dass der Fehler in der App liegt, nicht in Hardware oder Firmware, und nur Nutzer der zweiten Generation betrifft, die die Registrierung von Kontakten nutzten, eine Ende April 2026 eingeführte Funktion.
Bitkey erklärt, dass der Fehler weder den Hardware-Schlüssel noch den Server-Schlüssel oder die Ausgabeschlüssel schwächt und dass selbst eine erfolgreiche Ausnutzung nicht genügen würde, um Guthaben zu bewegen, da die Wallets 2-von-3-Signaturen verwenden; das praktische Risiko stuft Bitkey für Recovery Contacts als nicht vorhanden und für Begünstigte als höchst unwahrscheinlich ein, da es umfassenden Zugriff auf die Infrastruktur von Block erfordere. Laut Bitkey zeigen die Server-Protokolle keine Insider-Aktivität von der Art, die ein Angriff hinterlassen würde. Die Korrektur stellt auf einen kryptografisch sicheren Generator um; Bitkeys Seite mit Sicherheitsupdates führt sie in der App-Version 2026.11.2. Crypto Briefing berichtet, dass der Patch am 1. August bei beiden App Stores eingereicht wurde und Bitkey am 2. August einen öffentlichen X Space zu dem Problem abhielt.
Was Bitkey empfiehlt:
- Halten Sie die App aktuell.
- Nutzer der zweiten Generation mit einem Erbschaftsbegünstigten sollten den Begünstigten nach dem Update erneut registrieren.
Bitcoin (BTC) ist die erste dezentrale Kryptowährung, die 2009 eingeführt wurde. Sie verwendet Blockchain-Technologie für sichere, Peer-to-Peer-Digitaltransaktionen ohne Vermittler.
Read full definitionEin Nonce ist eine sequentielle Zahl in einer Blockchain-Transaktion, die sicherstellt, dass Transaktionen vom selben Konto in der richtigen Reihenfolge verarbeitet werden und Replay-Angriffe verhindert werden.
Read full definitionFirmware ist die Software, die auf der Hardware-Wallet selbst läuft: Sie erzeugt Schlüssel, zeigt Transaktionsdetails auf dem Display und signiert.
Read full definitionQuellen
Unabhängige Berichte und Forschung, an denen dieser Eintrag geprüft wurde.
Mehr erfahren
Ratgeber zum Schutz vor dieser Art von Vorfall (Software-Schwachstelle) und die Glossarbegriffe, mit denen er beschrieben wird.
Wie schützen Sie Ihre Krypto vor Hackern
Praktische Schritte zum Schutz Ihrer Kryptowährung vor Hackern, Malware, Phishing und Social-Engineering-Angriffen.
Leitfaden lesenWie man Krypto sicher sendet
Das Senden von Krypto kann beängstigend sein – eine falsche Adresse und die Gelder sind für immer weg. Folgen Sie dieser Anleitung, um sicher zu senden.
Leitfaden lesenMalware
Malware ist Schadsoftware, die Krypto stiehlt oder umleitet, etwa durch Mitschneiden von Eingaben, Austauschen kopierter Adressen oder Auslesen von Wallet-Dateien.
Blind Signing
Blind Signing ist der Prozess, eine Transaktion zu signieren, ohne deren Inhalt einzusehen, und wird typischerweise in Hardware-Wallets zur Verbesserung der Sicherheit verwendet.
Diesen Eintrag zitieren
WalletInsights. „Bitkey-App nutzte nicht kryptografischen Zufallsgenerator für Kontaktregistrierung“. Tracker für Sicherheitsvorfälle bei Hardware-Wallets. Zuletzt geprüft am 3. November 2026. https://walletinsights.io/de/security-incidents/bitkey-relationship-enrollment-weak-randomness-2026/
Korrekturen und Recht auf Gegendarstellung
Hersteller, Forschende und Leser können Korrekturen oder Stellungnahmen an security@walletinsights.io senden. Wir prüfen sie anhand der Quellen, aktualisieren den Eintrag und vermerken die Änderung im Protokoll.