Wie schwache Entropie weiterhin Millionen im Krypto-Sektor kostet

Am 31. Juli 2026 leerte ein Angreifer innerhalb von 25 Minuten rund 500 Bitcoin-Wallets. Dabei wurden etwa 594 BTC im Wert von rund 38 Millionen US-Dollar verschoben – und jede betroffene Wallet gehörte jemandem, der sich extra eine Hardware-Wallet gekauft hatte, um genau das zu verhindern.
 

Coinkite disclosed that COLDCARD firmware had been generating keys using a software pseudorandom number generator rather than the hardware generator built into the device. Two functions in the codebase shared the same name and signature, so the linker selected the wrong one, and the build produced no warning.
 

Dies ist nur der jüngste Fall in einer langen Liste. In den letzten zehn Jahren waren die größten Verluste im Kryptobereich seltener Folge ausgeklügelter Hacks, sondern vielmehr von etwas Grundlegendem: Zufallszahlen, die nicht zufällig genug waren.

Was steckt hinter dem privaten Schlüssel?

Krypto-Wallets – egal ob App, Browser-Erweiterung oder Hardware-Gerät – hängen an einer einzigen, entscheidenden Aufgabe: Zahlen zu erzeugen, die niemand erraten oder rekonstruieren kann. Genau das meint Entropie in diesem Kontext: das Maß an Unvorhersehbarkeit in einer generierten Zahl.

Entropy is the raw randomness a wallet uses to create a private key, measured in bits. More bits mean a larger space of keys that an attacker must search. It enters a wallet at setup. Every key, address, and signature after that follows fixed mathematical rules, so no new randomness arrives later.

Entropiequelle

Im Prinzip kann eine Wallet Zufälligkeit von einem pseudorandom number generator (PRNG) beziehen: ein Algorithmus, der eine kleine Menge „echter“ Entropie auf die benötigte Menge streckt – aber nur, wenn der Startwert selbst nicht vorhersagbar ist. 

Software, die in einem Browser-Tab oder auf einem frisch gestarteten Smartphone läuft, beginnt ihr Leben oft in einer Art sensorischer Isolation. Um wirklich zufällige Zahlen zu erzeugen, braucht ein Programm „Rauschen“ – unvorhersehbare Eingaben aus der realen Welt, etwa Schwankungen im Prozessor-Timing, Mausbewegungen oder spezielle Hardware-Komponenten.

In den ersten Millisekunden nach dem Einschalten eines Geräts sind diese Rauschquellen oft leer oder nur teilweise initialisiert. Ruft eine Kryptobibliothek den Zufallszahlengenerator zu früh auf, schöpft sie aus einem zu kleinen Pool – die erzeugten Zahlen sind zwar technisch zufällig, aber aus einem so kleinen Raum, dass ein Angreifer ihn vollständig durchsuchen kann.

Browser bringen eigene Einschränkungen mit. JavaScript’s Math.random() wurde nie für Sicherheitszwecke entwickelt, und selbst das sicherere crypto.getRandomValues() hängt vom Entropie-Pool des Betriebssystems ab. Ist dieser Pool schwach – wie in mobilen Sandboxes, virtuellen Maschinen oder abgespeckten IoT-Geräten – ist die Zufälligkeit kompromittiert, bevor sie überhaupt den Code erreicht, der deinen privaten Schlüssel erzeugt.

Zufall bei Transaktionssignaturen

Wenn du eine Bitcoin- oder Ethereum-Transaktion signierst, verwendest du deinen privaten Schlüssel nicht direkt. Stattdessen erzeugst du einen Nonce: eine einmalige, zufällige Zahl, die du mit deinem privaten Schlüssel im Elliptic Curve Digital Signature Algorithm (ECDSA) kombinierst, um die Signatur zu erzeugen.

Der Haken: Wird derselbe Nonce zweimal mit demselben privaten Schlüssel verwendet, liefert die Mathematik dem Angreifer alles, was er braucht, um den privaten Schlüssel zu berechnen.
ECDSA-Signaturen bestehen aus einem Zahlenpaar (r, s), das eine bestimmte Gleichung erfüllt – mit:

• dem privaten Schlüssel (d),
• dem Nonce (k) und
• der gehashten Transaktionsnachricht (z).

Ist k bei zwei unterschiedlichen Nachrichten gleich, lassen sich die Gleichungen so aufstellen, dass jeder, der beide Signaturen sieht, k berechnen kann. Ist k bekannt, fällt d – der private Schlüssel – mit ein paar Multiplikationen und einer modularen Inversion quasi heraus.

Im Jahr 2013 führte a flaw in Android’s SecureRandom function caused early Bitcoin wallets on the platform to produce predictable nonces. Funds vanished from wallets before most users had any idea there was a problem.

Im Gegensatz zu typischen Programmierfehlern lässt sich schlechte Zufälligkeit nicht einfach am Quellcode erkennen. Die Funktionsaufrufe können korrekt aussehen – aber nur wer die tatsächlich produzierten Bits misst und statistisch testet, kann die Qualität beurteilen. Eine fatale Schwachstelle kann so monatelang oder jahrelang unentdeckt bleiben, bis sie jemand ausnutzt.

Warum bleibt Entropie ein dauerhaftes Risiko? Die Hauptgründe sind:

• Startup entropy drought: Geräte, die gerade eingeschaltet wurden, haben oft noch nicht genug Umgebungsrauschen gesammelt, um PRNGs zu „säen“.

• Browser limitations: JavaScript’s Math.random() ist nicht sicher; selbst crypto.getRandomValues() hängt vom Entropie-Pool der Umgebung ab.

• Unsafe tooling: Generatoren für Vanity-Adressen, Offline-Skripte oder schlecht gepflegte Bibliotheken sparen oft an Zufälligkeit für Geschwindigkeit oder Nachvollziehbarkeit.

• Human input: „Brainwallets“ und selbstgewählte Phrasen wurden schon oft durch Wörterbuch-Angriffe geknackt.

Kryptografen setzen daher bevorzugt auf Hardware-Zufallszahlengeneratoren (HRNGs), auch True RNGs genannt. Sie verwandeln physikalische Phänomene wie elektronisches Rauschen, Temperaturschwankungen oder radioaktiven Zerfall in Zufallsbits – und können sich selbst laufend auf Fehler oder Bias testen.

Wie Hardware das Problem löst

In Hochsicherheits-Systemen ist die Lösung klar: Die Schlüssel werden im Inneren eines Chips mit zertifiziertem HRNG erzeugt – und verlassen diesen nie als Kopie.

A secure element is a purpose-built, tamper-resistant microcontroller. It is a fortified chip designed to store secrets and perform cryptographic operations without revealing the underlying keys. They are the same class of component used in passports to prevent cloning, SIM cards to authenticate devices to mobile networks, and contactless payment cards to authorize transactions.

A secure element can house a hardware random number generator that draws its unpredictability from physical noise, such as thermal fluctuations or oscillator jitter, rather than from mathematical algorithms alone. 

These HRNGs are not just “once-and-done” devices. Under standards such as NIST SP 800-90B, they must perform continuous health tests, checking every output stream for statistical bias, stuck bits, or other failures that could degrade randomness over time. If anything looks suspicious, the chip can halt key generation immediately. In a good hardware wallet, the secure element’s HRNG feeds randomness directly into the key-generation process inside the chip itself. 

Nicht jede „Hardware“ ist gleich sicher

Der Begriff Hardware-Wallet umfasst eine große Bandbreite an Designs – und nicht alle bieten denselben Schutz für Zufälligkeit und Schlüssel-Isolation.

Am unteren Ende stehen Geräte, die auf general-purpose microcontrollers basieren – Chips, die eher auf Flexibilität als auf Widerstandsfähigkeit gegen physische oder Side-Channel-Angriffe ausgelegt sind. Viele davon enthalten nur einen einfachen Zufallszahlengenerator. 

Still, it may be a pseudorandom generator seeded from the device’s internal state, rather than a fully compliant HRNG tested to the required standards. In such designs, key generation may happen in firmware, with the resulting private key temporarily stored in RAM or flash memory. That means a flaw in the firmware, a successful side-channel attack, or physical tampering could expose the key.
 

Im Gegensatz dazu platzieren Wallets mit Secure Element sowohl die Entropiequelle als auch die Schlüsselgenerierung in einer manipulationssicheren Umgebung. Dieses Modell erzwingt zudem strikte Zugriffskontrolle: Kryptografische Operationen (Signatur, Ableitung) laufen im Chip ab – nur die fertige Signatur oder der Public Key verlassen ihn, nie das Geheimnis selbst.

Standards gibt es längst

Das Zufallsproblem ist keine ungelöste Wissenschaft. Kryptografen haben längst definiert, wie gute Entropie aussieht. Das US-amerikanische National Institute of Standards and Technology (NIST) hat die SP 800-90 Standardreihe veröffentlicht, die das Thema in klare Teilbereiche gliedert.

SP 800-90B beschreibt, wie man eine Entropiequelle bewertet – also den physischen oder softwarebasierten Prozess, der unvorhersehbare Bits erzeugt. Er fordert strenge statistische Analysen, um die tatsächliche Entropie jeder Bitfolge zu bestimmen, sowie integrierte Health-Tests zur laufenden Überwachung auf Bias oder Fehler.

SP 800-90C erklärt, wie man diese Entropie mit deterministic random bit generators (DRBGs) kombiniert, damit die Ausgabe auch dann stark bleibt, wenn eine Quelle schwächelt.

Ein konformes Gerät erzeugt nicht einfach einmal Zufallszahlen und hofft auf das Beste. Es prüft laufend seinen „Puls“: Wenn das Rauschmuster des HRNGs sich verändert, ein Bit „hängenbleibt“ oder statistische Schwellenwerte nicht erreicht werden, stoppt das System die Schlüsselgenerierung, um schwache Schlüssel zu vermeiden.

Wie erkennst du dein Risiko?

Die meisten Nutzer können Entropie nicht direkt messen – aber sie können hinterfragen, wo und wie ihre Schlüssel erzeugt wurden. Wurden sie „in einer Webseite“ oder „in einer alten Android-App“ generiert, insbesondere vor Mitte der 2010er, sind diese Schlüssel wahrscheinlich schwach. Am sichersten ist es, eine neue Wallet auf einem Hardware-Gerät mit zertifizierter, dokumentierter Zufälligkeit zu erzeugen – und die Coins dorthin zu übertragen.

Eine Chronik der Entropie-Angriffe 

Schwache Entropie macht Rückwärtssuche überflüssig: Der Angreifer zählt einfach alle Schlüssel durch, die der fehlerhafte Generator erzeugen konnte, leitet die zugehörigen Adressen ab und prüft diese auf Guthaben. Ein Blick in die Geschichte:

• 2018—The IOTA seed generator scam: Users were told to create their wallet seeds using a website. The site’s operator kept a copy of those seeds and drained funds later, stealing roughly $4 million. The randomness here was zero: the attacker already knew the numbers.
   

• 2019—The Blockchain Bandit: Security researchers identified 732 weak Ethereum private keys in the wild. An unknown attacker had been watching those addresses for years, siphoning roughly 45,000 ETH as soon as funds appeared.
   

• 2022—Profanity’s vanity address catastrophe: The open-source Profanity tool generated custom Ethereum addresses from seeds with only 32 bits of entropy, about four billion possibilities. A modern GPU can search that space in hours. Wintermute, a London market maker, lost about $160 million this way.
   

• 2023—Trust Wallet browser extension flaw: In a disclosure from Ledger’s security team, the browser extension was found to produce wallet seeds with about 32 bits of entropy. It was fixed quickly, and Trust Wallet reimbursed some users, but for months, anyone generating a wallet there was at risk.
   

• 2025—The LuBian allegation: Arkham’s claim is still unverified, but if the loss of 127,426 BTC really traces to predictable key generation, it would be the crowning example of how a single misstep at creation can doom billions in assets. 
   

• 2026: COLDCARD: Coinkite disclosed that a software pseudorandom generator had replaced the intended hardware generator in shipped firmware. The fallback entered the upstream dependency in May 2018 and reached key generation in March 2021.

  Coinkite estimates about 40 bits of effective search space on Mk3 hardware, and about 72 bits on later models that mixed in secure element data. Both figures sit below the 128-bit target.

  A guard existed to prevent exactly this. It tested whether a configuration macro was defined, rather than whether its value was non-zero; the macro was set to zero, so the check passed and the error never fired.

Überlegst du, von COLDCARD zu wechseln?

Tangem erzeugt deinen Schlüssel direkt im zertifizierten Secure-Element-Chip mit einem Hardware-Zufallszahlengenerator. 

Wenn du genug davon hast, dich um Seed-Phrases zu sorgen, bietet unser Seedless-Setup eine Lösung ohne 12- oder 24-Wort-Phrase zum Aufschreiben, Fotografieren oder Verlieren – genau das, worauf die meisten Wallet-Hacks der Vergangenheit zurückzuführen sind.

Unabhängig geprüft von Cure53, Kudelski und Riscure. Entwickelt genau für diesen Moment.

Verschiebe deine Coins dorthin, wo Zufälligkeit wirklich zufällig ist. Hol dir die Tangem Wallet.