Bitcoin Unsichere virtuelle Geldbörsen unter Android

Auf Grund einer Schwachstelle in dem Zufallszahlengenerator in Android gelten sämtliche dort verwendeten virtuellen Geldbörsen als unsicher.

Alle Bitcoin-Wallet-Apps sind unsicher und können gestohlen werden. So lautet eine Warnung auf der Webseite Bitcoin.org. Grund dafür ist eine Schwäche im Zufallszahlengenerator von Android, der einen ungenügend starken Schlüssel für die virtuellen Geldbeutel erstellt. Die privaten Schlüssel, die von Coinbase oder Mt Gox generiert wurden, sind nicht betroffen, da sie nicht von Android-Smartphones generiert wurden.

Anwendern wird geraten, ein Update der Apps abzuwarten, die das Problem beheben sollen. Danach sollten Anwender eine neue Bitcoin-Adresse mit einem sicheren Schlüssel generieren. Anschließend sollte das gesamte Bitcoinvermögen mit der neuen Adresse versehen und an sich selbst zurückgeschickt werden. Die neue Adresse muss auch sämtlichen Nutzern mitgeteilt werden, die eine bisherige Adresse gespeichert haben.

Erste Updates erschienen

Inzwischen haben die Entwickler von Bitcoin Wallet eine Betaversion eines Updates bereitgestellt. Andere Apps wie von blockchain.info, Bitcoinspinner oder Mycelium Wallet warten noch auf Aktualisierungen. Das Bitcoin-Wallet-Update erzeugt automatisch einen neuen sicheren Schlüssel samt Adresse und überträgt das Bitcoin-Guthaben. Die Entwickler empfehlen, sofort ein aktuelles Backup zu erstellen.

Da der alte unsichere Schlüssel gelöscht wird, sollten Nutzer zur Sicherheit auch alte Backups behalten. Allerdings sollten sie den alten Schlüssel nicht erneut importieren. Sollte die virtuelle Geldbörse noch unbestätigte Transaktionen aufweisen oder die Rotation des eigenen Guthabens nicht funktionieren, empfehlen die Entwickler, den Blockchain neu einzulesen.

Nachtrag vom 15. August 2013

Google hat die Schwachstelle in Android mittlerweile bestätigt. Ursache ist eben der Zufallszahlengenerator in Android, der einen ungenügend starken Schlüssel erzeugt. Google gibt Entwicklern Hinweise, wie sie ihre Apps überarbeiten können, um das Problem zu umgehen. Zugleich wurde der Fehler mit einem Patch beseitigt, der auch Geräteherstellern zur Verfügung gestellt wurde. Es dürfte aber einige Zeit dauern, bis die Hersteller Updates für ihre Geräte verteilt haben.