Coldcard- og Ledger-angrep reiser spørsmål om sikkerheten til hardware wallets

​To store sikkerhetshendelser knyttet til Coldcard og Ledger har svekket tilliten til hardware wallets for kryptovaluta. Angrepene har avdekket sårbarheter i enheter som lenge har vært ansett som blant de tryggeste måtene å oppbevare Bitcoin på. Nå stiller Peter Todd, Jack Mallers og andre fremtredende bransjeprofiler spørsmål ved om dedikerte hardware wallets er verdt risikoen, eller om alternative løsninger gir bedre beskyttelse.

2026 har trolig vært det verste året noensinne for sikkerhetshendelser knyttet til Bitcoin. Det skyldes ikke nødvendigvis hvor mye Bitcoin som gikk tapt, men hvor hardt årets to verste angrep rammet det som lenge ble ansett som gullstandarden for kryptolagring: hardware wallets. Eksperter på oppbevaring av krypto spør nå åpent om spesialisert kryptomaskinvare i det hele tatt er fornuftig, mens andre påpeker at de har uttrykt skepsis til disse enhetene i årevis. Samtidig mener mange at det vil være en overreaksjon å forkaste hardware wallets fullstendig.

Som en påminnelse opplyste Coinkite i sommer at en firmware-feil som kunne spores tilbake til 2021, førte til at enkelte Coldcard-enheter genererte seeds med svak tilfeldighet. Det gjorde det mulig for angripere å gjenskape private nøkler offline og tømme midlene. Brukerne hadde stolt på at én leverandørs firmware skulle utføre en wallets mest grunnleggende oppgave – å generere en tilfeldig hemmelighet – uten noen enkel måte å vite at den hadde sviktet på.

Denne måneden bekreftet Ledger at angripere hadde åpnet ekte enheter, installert spesialtilpassede implantater som leste recovery phrases fra skjermen under oppsettet, og sendt dem ut via en mobilforbindelse. Ledgers sikre brikke ble aldri kompromittert. Problemet var at ingen enkelt kunne fastslå om enheten de hadde i hendene, var den samme som forlot fabrikken uten endringer.

Tredjepartsestimater anslår skadene til over 100 millioner dollar hver for angrepet på Ledgers forsyningskjede og Coldcard-hendelsen. Det gjør det tydelig hvorfor det nå er så mye paranoia i kryptomiljøet når det gjelder sikker oppbevaring av midler.

Problemene gjelder mer enn Coldcard og Ledger

Strike-sjef Jack Mallers beskrev nylig flere generelle ulemper ved hardware wallets i programmet sitt. «Hardware wallets er etter min mening mer risikable enn markedet, eller folk flest, ser ut til å tro», sa han. Han la til: «Det ligger ganske mye underforstått tillit i å sende en enhet som ikke har blitt tuklet med, altså i forsyningskjeden. Det er så mange aktører involvert.»

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Mallers påpekte også at åpen kildekode-firmware fortsatt trenger tilstrekkelig mange gjennomgåere for å være tillitvekkende. Han sammenlignet Coldcards relativt lille bidragsyterbase med den langt større basen til Bitcoin Core. Kjøp av en hardware wallet kan også avsløre kunders e-postadresser og leveringsadresser dersom leverandører eller partnere blir rammet av datainnbrudd, sa han. Han viste til tidligere lekkasjer av Ledger-kundedata og en nylig hendelse hos Trezors fraktleverandør.

«Nå vet hackere hvor du bor, og du ser fysiske angrep på folk», sa han, og viste til økningen i «$5 wrench»-angrep mot kryptoeiere de siste par årene.

Generisk maskinvare kontra kryptospesifikke enheter

En mulig svakhet ved hardware wallets er nettopp det som gjør dem nyttige: De er bygget for ett bestemt formål. Alle som kjøper en slik enhet, signaliserer at de kan oppbevare verdifulle private nøkler, noe som gjør enhetene til attraktive mål for angrep på forsyningskjeden.

Bitcoin Core-bidragsyter Peter Todd har lenge unngått dem av denne grunnen. «Jeg bruker personlig ikke hardware wallets», skrev han på X. «Jeg stoler på sikkerheten i @QubesOS sammen med standardmaskinvare (for eksempel ThinkPad-laptoper og Raspberry Pi-er) kjøpt anonymt.»

Todd argumenterte for at generisk maskinvare er langt vanskeligere å målrette mot, fordi en angriper måtte installere bakdører i et enormt antall enheter for å treffe de få som brukes til krypto. «Generisk maskinvare er en enorm forbedring sammenlignet med hardware wallets, fordi en angriper må installere bakdører i langt flere enheter for å angripe et nisjebrukstilfelle», la han til. «Kanskje bare én av 100 laptoper eller Raspberry Pi-er noen gang vil lagre kryptovaluta.»

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Dette er selvsagt ikke et nytt synspunkt fra Todd. Faktisk har han og andre fremmet dette argumentet i minst åtte år. Mallers kom også med et lignende poeng i programmet sitt. I tillegg foreslo han at Bitcoin Core på en offline-laptop kan være tilstrekkelig for langsiktige eiere, mens hardware wallets gir mer mening for personer som trenger å signere transaksjoner oftere.

Når det er sagt, advarte Foundation-sjef Zach Herbert på X om at gjør-det-selv-maskinvare heller ikke er noen universalløsning. «Hvor lang tid går det før Amazon-selgere modifiserer Raspberry Pi-er og andre utviklingskort i håp om at noen bruker dem til oppbevaring av Bitcoin eller krypto?» spurte han.

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Argumentene for hardware wallets

Ikke alle er klare til å gi opp hardware wallets ennå. Coinkite har forsvart designet med gjennomsiktig kabinett som en måte for brukere å oppdage byttede komponenter eller implantater på. Ledger har på sin side fremstilt hendelsen som et distribusjonsangrep, ikke som en svikt i den sikre brikken eller operativsystemet. Ledger sier også at den kommende enheten Ledger Atom ville ha vært beskyttet mot den spesifikke typen utnyttelse som ble brukt i angrepet på forsyningskjeden.

Andre mener at hardware wallets kan gjøres sikrere ved å generere seeds med terningkast i stedet for å stole på enhetens tilfeldighetsgenerator. «Det er derfor det å ta med sin egen entropi er den tryggeste og enkleste veien», skrev Shinobi, teknisk redaktør og meningsredaktør i Bitcoin Magazine, på X.

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Herbert har tatt til orde for fysisk, aktiv manipuleringsovervåking og mer pålitelig produksjon, mens Todd fremhevet manipuleringssikre forsendelsesløsninger som Entropy Seal – noe han mener Ledger burde ha brukt. Herbert pekte også på en annen måte å redusere risikoen på. «Multisig ville ha beskyttet deg her, men jeg er ikke sikker på om en passphrase ville ha gjort det», skrev han.

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Det er argumentet for multisig på tvers av leverandører, der nøklene fordeles mellom enheter fra ulike produsenter slik at én kompromittert enhet ikke kan flytte midlene. Ifølge Ivy Galindo, leder for vekstmarkedsføring i BitGo, kom ingen av bitcoinene som ble stjålet i Coldcard-utnyttelsen eller Ledger-forhandlerangrepet, fra et multisig-oppsett.

«Multisig på tvers av leverandører beskytter deg mot angrep på forsyningskjeden», skrev også Casa-medgründer Jameson Lopp, og påpekte at Casa-brukere ikke ble berørt av Ledger-angrepet. Tilbydere av assistert oppbevaring, som Casa og Unchained, tilbyr slike oppsett for brukere som ønsker hjelp til å administrere dem uten å gi fra seg full kontroll over nøklene.

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Personlig ansvar er vanskelig å sette bort

Årets hendelser bør få kryptoeiere til å revurdere hvordan de sikrer Bitcoin og andre digitale eiendeler. Lærdommen er ikke nødvendigvis at hardware wallets er ubrukelige, men at ingen enkelt enhet eller selskap fortjener blind tillit.

Se innlegget på X Laster inn...

Tweeten ble slettet av forfatteren.

Men vi lagret alt 🙂.

Den triste realiteten er at enkelte kan være bedre tjent med eksponering mot Bitcoin gjennom et ETF eller et Bitcoin treasury-selskap dersom de ikke klarer å sikre myntene sine selv og ikke har noen de stoler på til å hjelpe dem. Det er et krevende budskap i et system som i utgangspunktet er utviklet for å fjerne behovet for betrodde mellommenn. Som Paul Sztorc, grunnlegger og administrerende direktør i LayerTwo Labs, skrev på X: «Det er vanskelig å sette personlig ansvar bort.»