COLDCARD-Delta-PIN-Modus ermöglichte die Wiederherstellung eines privaten Schlüssels aus zwei Signaturen

Am 29. September 2025 veröffentlichte das Sicherheitsunternehmen Karma-X eine Warnung zu einer nicht offengelegten Schwachstelle in Coldcard-Hardware-Wallets, die nach seinen Angaben aktuelle Firmware betraf und zum Verlust von Guthaben oder zur Offenlegung von Schlüsseln führen konnte. Ein aktualisierter Beitrag vom 30. September 2025 benannte das Problem als Fehler im Delta Mode, der Duress-PIN-Funktion (Trick-PIN), die eine erzwungene Entsperrung normal aussehen lassen soll.

Laut Karma-X ermöglichte der Fehler die vollständige Wiederherstellung des privaten Bitcoin-Schlüssels aus zwei Transaktionssignaturen, in einem Szenario, in dem ein Angreifer das Opfer dazu bringt, zweimal zu signieren. Der vollständige technische Bericht erfordert ein Konto, daher ist nur diese Zusammenfassung öffentlich. Coinkites Offenlegungshistorie bestätigt die Meldung: Sie nennt Nathan Landon als denjenigen, der zeigte, dass die Delta-PIN-Implementierung die Wiederherstellung des privaten Schlüssels aus zwei Transaktionssignaturen ermöglichte, und gibt an, dass Coinkite noch am selben Tag einen Patch veröffentlichte. Der öffentliche Firmware-Commit mit dem Titel „deltamode timing fix“ ändert, wie der Delta Mode die Hashes berechnet, die er signiert.

Coinkite führt das Problem als behoben in Firmware 5.4.4 (Mk4/Mk5) und 1.3.4Q (Q), beide am 30. September 2025 veröffentlicht; die öffentlichen Versionshinweise dieser Versionen erwähnen es nicht. Der erste Beitrag von Karma-X bezeichnete alle Coldcard-Geräte mit aktueller Firmware als betroffen, während Coinkite die Release-Reihen Mk4/Mk5 und Q aufführt.