Wichtigste Erkenntnis: Eine mit vollständiger Zufälligkeit erzeugte BIP39-Seed-Phrase enthält 128 bis 256 Bit Entropie. Damit liegt das Erraten einer solchen Phrase weit außerhalb der Reichweite jeder heute verfügbaren Rechenleistung. Jeder seit 2023 dokumentierte Fall lässt sich auf einen Generator zurückführen, der weitaus weniger Möglichkeiten erzeugte, als der Standard voraussetzt. Entscheidend ist daher, wie Ihre Phrase erzeugt wurde und ob Sie sie ersetzen können.
Kurzübersicht
| Begriff | Bedeutung |
|---|---|
| Entropie | Das Maß an echter Unvorhersagbarkeit in einem erzeugten Wert, gemessen in Bit. 128 Bit Entropie bedeutet, dass der Wert aus 2128 gleich wahrscheinliche Kandidaten. |
| BIP39 | Der Standard, der rohe Entropie als 12, 15, 18, 21 oder 24 Wörter aus einer festen Liste mit 2.048 Wörtern codiert. |
| Suchraum | Die Menge der Kandidatenphrasen, die ein Angreifer durchsuchen muss. Ihre Größe und nicht die Wortanzahl entscheidet darüber, ob dieser Aufwand praktikabel ist. |
| PRNG | Ein Pseudozufallszahlengenerator, der einen Ausgangswert mithilfe einer Formel zu einer langen Folge erweitert. Vorhersagbare Ausgaben ergeben sich aus einem vorhersehbaren Ausgangswert. |
| CSPRNG | Ein kryptografisch sicherer Zufallszahlengenerator, der aus dem Entropiepool des Betriebssystems gespeist wird und als erwartete Quelle für Schlüsselmaterial dient. |
| Entropiekollaps | Was passiert, wenn ein Generator aus einem weitaus kleineren Pool schöpft als vom Standard vorgegeben und den Suchraum dadurch auf eine Größe schrumpft, die ein Angreifer vollständig durchsuchen kann? |
Kann eine Seed-Phrase erraten oder per Brute-Force ermittelt werden?
Eine korrekt erzeugte BIP39-Seed-Phrase liegt mit großem Abstand außerhalb der Reichweite von Brute-Force-Angriffen. Der Suchraum wächst exponentiell mit der Entropie und nicht mit der Wortanzahl. Daher codiert eine 12-Wort-Phrase bereits 128 Bit, also ungefähr 3,4 × 1038 gültige Phrasen. Eine 24-Wort-Phrase codiert 256 Bit, also ungefähr 1,2 × 1077.
Diese Zahlen lassen sich anhand praktischer Bedingungen leichter beurteilen. Eine Maschine, die eine Billion Kandidatenphrasen pro Sekunde testet, hätte selbst nach einer Milliarde Jahren ununterbrochener Arbeit nur einen verschwindend kleinen Bruchteil des 128-Bit-Raums abgedeckt. Keine bisher zusammengestellte Hardware verändert diese Arithmetik; genau deshalb versuchen Angreifer, die Guthaben leeren, in der Praxis gar nicht erst, den vollständigen Raum zu durchsuchen.
In jedem öffentlich dokumentierten Fall arbeiteten Angreifer, die die Phrasen anderer Personen wiederhergestellt hatten, den deutlich kleineren Raum durch, den ein fehlerhafter Generator tatsächlich erzeugen konnte.
Wie viele Kombinationen hat eine aus 24 Wörtern bestehende Seed-Phrase?
Eine aus 24 Wörtern bestehende BIP39-Phrase hat 2256 gültige Kombinationen, was ungefähr 1,2 × 1077Eine 12-Wort-Phrase hat 2128 gültige Kombinationen, also ungefähr 3,4 × 1038.
Die Arithmetik hinter diesen Zahlen ist einen Absatz wert, weil die rohe Wortanzahl die Gesamtsumme überschätzt. Multipliziert man 2.048 Optionen über 24 Positionen, erhält man 2264, und das letzte Wort trägt eine 8-Bit-Prüfsumme, die an die ihm vorausgehende Entropie gebunden ist. Nur eine von 256 Kombinationen besteht diese Prüfung, wodurch die Anzahl gültiger Phrasen wieder auf 2256. Dieselbe Beziehung gilt bei 12 Wörtern, bei denen eine 4-Bit-Prüfsumme 2 reduziert.132 Wortkombinationen auf 2128.
Wie wird eine Seed-Phrase erzeugt, und wo geht dabei etwas schief?
Die Erzeugung beginnt mit roher Entropie und nicht mit Wörtern. Das Gerät oder die Software fordert 128 bis 256 Bit von einer Zufallsquelle an, hasht diesen Wert zur Ableitung einer Prüfsumme, teilt das Ergebnis in 11-Bit-Gruppen auf und ordnet jede Gruppe einem Wort aus der BIP39-Liste zu. Die Wörter sind eine Kodierung der Entropie, daher steht die Stärke einer Phrase in dem Moment fest, in dem die Entropie gezogen wird.
Diese Struktur legt die gesamte Sicherheit einer Phrase in einen Schritt, den der Besitzer nicht beobachten kann. Ein Generator, der aus einer Hardware-Rauschquelle initialisiert wird, und ein Generator, der anhand der Systemuhr initialisiert wird, liefern identisch aussehende Ergebnisse, da beide 24 plausible englische Wörter im korrekten Format mit einer gültigen Prüfsumme zurückgeben. Nichts im weiteren Verlauf erkennt eine schwache Ziehung, und ein später veröffentlichtes Firmware-Update kann die Zufälligkeit nicht in eine Phrase zurückbringen, die ohne sie erstellt wurde.
Wie sieht eine schwache Seed-Phrase tatsächlich aus?
Drei öffentlich dokumentierte Fehler zwischen 2023 und 2026 haben über drei verschiedene Schichten des Stacks hinweg denselben Mechanismus gemeinsam. In jedem Fall gab der Generator korrekt formatierte Phrasen zurück, während er aus einem Pool schöpfte, der klein genug war, um ihn mit gewöhnlicher Hardware vollständig zu durchsuchen.
| Fall | Fehlgeschlagene Schicht | Was der Generator tat | Effektiver Suchraum |
|---|---|---|---|
| Milk Sad, CVE-2023-39910, offengelegt am 8. August 2023 | Befehlszeilen-Tool | Das bx Tool aus dem Libbitcoin Explorer erzeugte Seeds mit einem Mersenne-Twister, der nur anhand einer 32-Bit-Systemuhr initialisiert wurde | 232 oder weniger, unabhängig von der vom Benutzer konfigurierten Ausgabelänge |
| Ill Bloom, CVE-2026-71851 und GHSA-rg76-677x-56q9, CVSS 9.0 | JavaScript-Abhängigkeit | Die CryptoJS-Funktion WordArray.random() verwendete einen Carry-Multiply-Generator, der mit Math.random() initialisiert wurde – ein Design, das seit Juni 2014 vorhanden war | Ungefähr 239 und 247 gegenüber nominell 128 und 256 Bit |
| Fehler beim Firmware-Build, Herstellerhinweis vom 30. Juli 2026 | Firmware des Hardware-Wallets | Ein seit März 2021 bestehender Fehler in der Build-Konfiguration führte dazu, dass die Seed-Erzeugung auf den Geräten eines Hardware-Wallet-Herstellers auf einen pseudorandomisierten Generator auf Softwarebasis zurückfiel | Etwa 72 Bit bei den neueren betroffenen Geräten und weniger bei den älteren |
Die Milk-Sad-Forscher bei Distrust berichteten, mehr als 900.000 US-Dollar in Bitcoin wiedererlangt zu haben, die unter Phrasen aus dem betroffenen Tool verwahrt wurden, und bezeichneten diese Zahl als Untergrenze, die nur Bitcoin umfasst. Die Versionen 3.0.0 bis 3.6.0 von bx wurden als betroffen bestätigt, während frühere Versionen als verdächtig, nicht jedoch als bestätigt, eingestuft wurden. Viele der Betroffenen hatten ihre Phrasen Jahre zuvor erstellt, während sie dem Rat folgten, offene Tools zu verwenden.
The CryptoJS case carries the longest paper trail of the three. Releases 3.2.0 and 3.2.1 replaced the weak generator with the platform's native cryptographic random source, and release 3.3.0 reverted that change on the grounds that it broke compatibility for existing users. Version 4.0.0, published in February 2020, fixed the problem permanently, and the library has been effectively unmaintained since 2023. Five wallet applications were still generating phrases through the vulnerable path, and because one phrase derives addresses across many networks, a single weak draw exposed balances on 15 chains at once. Coinspect tracked $5,690,922 drained across two waves by July 13, 2026, and described that total as a lower bound.
Der CryptoJS-Fall weist die längste Dokumentationsspur der drei Fälle auf. Die Versionen 3.2.0 und 3.2.1 ersetzten den schwachen Generator durch die systemeigene kryptografische Zufallsquelle, und Version 3.3.0 machte diese Änderung rückgängig, da sie die Kompatibilität für bestehende Nutzer beeinträchtigte. Version 4.0.0, veröffentlicht im Februar 2020, behob das Problem dauerhaft; die Bibliothek wird seit 2023 faktisch nicht mehr gepflegt. Fünf Wallet-Anwendungen generierten weiterhin Phrasen über den anfälligen Pfad. Da eine Phrase Adressen über viele Netzwerke hinweg ableitet, setzte eine einzige schwache Generierung Guthaben auf 15 Chains gleichzeitig dem Risiko aus. Coinspect verfolgte bis zum 13. Juli 2026 in zwei Wellen einen Abfluss von 5.690.922 US-Dollar und bezeichnete diese Summe als Untergrenze.
Der Firmware-Fall von 2026 verlagerte denselben Fehler in die Hardware, wo ein Build-Fehler mehr als fünf Jahre lang ungeprüft blieb, bevor der Anbieter am 30. Juli 2026 eine Warnung veröffentlichte. Galaxy Research verfolgte die daraus resultierenden Transfers auf der Blockchain und bestätigte zum 8. August 2026 den Abfluss von 1.719 BTC im Wert von ungefähr 111 Millionen US-Dollar. Der Anbieter hat keine eigene Verlustsumme veröffentlicht; daher stammen alle kursierenden Zahlen aus der Chain-Analyse Dritter und nicht vom Hersteller.
Ein Befehlszeilentool, eine JavaScript-Abhängigkeit und eine Hardware-Build-Pipeline befinden sich auf unterschiedlichen Ebenen der Lieferkette und unterliegen unterschiedlichen Prüfverfahren; dennoch erzeugte jedes von ihnen Phrasen, die für die Person, die die Wörter notierte, vollkommen korrekt aussahen.
| Brute Force im Vergleich zu einem zusammengebrochenen Suchraum | Frage | Brute-Force-Angriff auf eine korrekt generierte Phrase |
|---|---|---|
| Durchsuchen eines zusammengebrochenen Suchraums | 2128 Wonach der Angreifer sucht256 möglichen Phrasen | Der Ausgabebereich eines fehlerhaften Generators, zwischen 232 und ungefähr 272 in den dokumentierten Fällen |
| Machbarkeit auf gewöhnlicher Hardware | Um viele Größenordnungen außerhalb der Reichweite | Mit einem Laptop und frei verfügbaren Tools erreichbar |
| Wie die Phrase für den Besitzer aussieht | Gültige Wörter, gültige Prüfsumme, normales Format | Gültige Wörter, gültige Prüfsumme, normales Format |
| Was die Gefährdung bestimmt | Nichts, was der Besitzer tut oder unterlässt | Das bei der Erstellung verwendete Tool oder die Firmware-Version, oft Jahre zuvor |
| Ob eine spätere Fehlerbehebung hilft | Nicht zutreffend | Ein gepatchter Generator gilt nur für neue Phrasen; eine bestehende Phrase bleibt schwach, bis sie ersetzt wird |
| Öffentlich dokumentierte Vorkommnisse | Kein gemeldeter Fall | Drei zwischen 2023 und 2026 |
Warum Sie nicht überprüfen können, wie Ihre eigene Phrase generiert wurde
Die drei Fälle haben eine Eigenschaft gemeinsam, die wichtiger ist als jeder einzelne Fehler. In allen Fällen lag die Schwachstelle an dem einen Schritt, den ein Besitzer nicht überprüfen kann, und blieb dort, bis ein externer Forscher sie entdeckte. Den veröffentlichten Quellcode einer Wallet zu lesen, sofern Quellcode verfügbar ist, zeigt, was der Code aussagt. Das Lesen bestätigt jedoch nicht, was auf dem Chip in Ihrer Hand ausgeführt wird. ELLIPAL nennt diese Einschränkung in seinem eigenen Dokument zur Sicherheitsarchitektur, und diese Lücke betrifft jeden Anbieter von Hardware-Wallets, einschließlich ELLIPAL.
Auch eine Zertifizierung schließt die Lücke nicht. Die Common-Criteria-Bewertung gilt für das Secure Element, also den isolierten Chip, der Schlüssel speichert und Signaturen ausführt, und deckt den Schutz dieses Chips gegen physische und Seitenkanalangriffe ab. Die Common-Criteria-Bewertung erstreckt sich nicht auf die Wallet-Firmware, die um den Chip herum ausgeführt wird – und genau diese Ebene war von dem Build-Fehler im Jahr 2026 betroffen.
Dem Nutzer bleibt die Möglichkeit des Austauschs. BIP39 definiert ein portables Format, sodass eine an einem Ort generierte Phrase in eine kompatible Wallet jeder Marke importiert werden kann und eine Phrase, der Sie aus gutem Grund misstrauen, ersetzt werden kann, ohne die Hardware auszutauschen. Auf ELLIPAL-Geräten erfolgt dieser Weg über die Eingabe zur Wiederherstellung auf dem ELLIPAL Titan 2.0 sowie während der Einrichtung über die Offline-Version ELLIPAL X Card Starter für die ELLIPAL X Card. Keine der beiden Methoden erfordert die Eingabe Ihrer Wörter in einer Smartphone-App.
Keine Lösung zur Selbstverwahrung beseitigt jedes Risiko. Ein portables Phrasenformat hält eine bestimmte Entscheidung reversibel, sodass ein Nutzer, der einem Generator misstraut, zu einer neuen Phrase wechseln und dasselbe Gerät weiterverwenden kann.
Welche Situation trifft auf Sie zu?
- Ihre Phrase stammt von einer Hardware-Wallet, deren Anbieter einen Hinweis zur Entropie veröffentlicht hat. Lesen Sie den Hinweis für die genauen Firmwareversionen und Zeiträume, da die betroffenen Bereiche eng begrenzt sind und ein Gerät außerhalb dieses Bereichs nicht betroffen ist. Wenn der Bereich Ihr Gerät einschließt, betrachten Sie die Phrase als das zu ersetzende Element – nicht die Hardware.
- Ihre Phrase stammt von einer Website oder einem browserbasierten Generator. Ein Browsergenerator hängt vom JavaScript der jeweiligen Seite ab – genau diese Ebene ist im CryptoJS-Fall ausgefallen. Betrachten Sie eine auf diese Weise erstellte Phrase als nicht verifiziert. Wenn Sie das Guthaben auf eine neu generierte Phrase übertragen, entfällt die Abhängigkeit von einer Seite, die Sie nicht prüfen können.
- Ihre Phrase stammt von einem Kommandozeilentool oder einer Bibliothek, die Sie selbst integriert haben. Prüfen Sie die Hinweise zur Projektgeschichte anhand der genau von Ihnen verwendeten Version, wie es die Milk-Sad-Offenlegung für bx in den Versionen 3.0.0 bis 3.6.0 dokumentiert hat.
- Sie besitzen eine Phrase, die jemand anderes generiert und Ihnen übergeben hat. Der Generierungsschritt ist Ihnen unbekannt und kann im Nachhinein nicht rekonstruiert werden. Daher ist eine neue, von Ihnen selbst generierte Phrase gefolgt von einer Übertragung des Guthabens der verlässlichere Weg.
- Sie halten langfristig und möchten die Anbieterfrage im Voraus klären. Wählen Sie Hardware, die beim Import eine vorhandene BIP39-Phrase akzeptiert, damit der Generator Ihre Entscheidung bleibt und keine feste Eigenschaft des Geräts ist.
- Ihre Phrase wurde auf einem aktuellen Gerät generiert, und es gibt keinen Sicherheitshinweis, der sie betrifft. In dieser Situation ist die Entropie nicht die offene Frage. Die Haltbarkeit des Backups, die physische Aufbewahrung und die Überprüfung von Transaktionen sind die Bereiche, auf die es sich zu konzentrieren lohnt; unser Leitfaden zum Erstellen eines Backups einer Hardware-Wallet behandelt die Aufbewahrung.
Häufig gestellte Fragen
Wurde eine Seed-Phrase jemals tatsächlich geknackt?
Kein öffentlich dokumentierter Fall beschreibt, dass ein Angreifer eine korrekt generierte Phrase durch Durchsuchen des vollständigen Suchraums wiederhergestellt hat. Bei jeder seit 2023 dokumentierten Wiederherstellung verwendete der Generator eine wesentlich kleinere Menge möglicher Phrasen, als BIP39 vorgibt, wodurch sich die Aufgabe des Angreifers auf eine Liste reduzierte, die gewöhnliche Hardware verarbeiten kann. Das Risiko hängt am Tool, mit dem eine Phrase erstellt wurde, und nicht an ihrer Länge.
Wie viele Kombinationen hat eine aus 24 Wörtern bestehende Seed-Phrase?
Eine aus 24 Wörtern bestehende BIP39-Phrase hat 2256 gültigen Kombinationen, ungefähr 1,2 × 1077. Die Zahl ergibt sich aus 256 Bit Entropie, und das letzte Wort der Phrase enthält eine 8-Bit-Prüfsumme, die es mit den vorangehenden Wörtern verknüpft; daher ist nur eine von 256 Wortkombinationen eine gültige Phrase. Eine aus 12 Wörtern bestehende Phrase enthält 128 Bit Entropie und 2128 gültigen Kombinationen, ungefähr 3,4 × 1038.
Woher weiß ich, ob meine Seed-Phrase schwach generiert wurde?
Es gibt keinen Test, den Sie mit den Wörtern selbst durchführen können, da eine schwache und eine starke Phrase dasselbe Format haben und beide die Prüfsummenvalidierung bestehen. Was Sie prüfen können, ist die Herkunft. Ermitteln Sie die Anwendung, das Tool oder die Firmware-Version des Geräts, mit denen die Phrase erstellt wurde, und lesen Sie dann die Sicherheitshinweise dieses Projekts zu den betroffenen Versionen und Zeiträumen. Unser Leitfaden zum Überprüfen, ob Ihre Wallet tatsächlich über Entropie verfügt führt diese Prüfung für den Firmware-Fall von 2026 Schritt für Schritt durch.
Ist eine auf einem Offline-Gerät generierte Phrase automatisch stark?
Nein. Durch die Offline-Generierung einer Phrase entfällt die Netzwerkgefährdung zum Zeitpunkt der Erstellung; die Stärke des Ergebnisses hängt jedoch weiterhin von der Entropiequelle und der Firmware ab, die daraus schöpft. Der Firmware-Fall von 2026 betraf Geräte, die vollständig offline generierten, wobei ein Build-Fehler die Generierung über einen softwarebasierten Pseudozufallszahlengenerator leitete. Offline-Generierung und starke Generierung sind getrennte Eigenschaften, und Letztere kann vom Besitzer nicht bestätigt werden.
Schützt mich eine längere Phrase vor einem schwachen Generator?
Nein. Eine aus 24 Wörtern bestehende Phrase enthält bei korrekter Generierung doppelt so viel Entropie wie eine aus 12 Wörtern, und ein fehlerhafter Generator begrenzt den tatsächlichen Suchraum unabhängig von der angeforderten Länge. Im Fall von Milk Sad blieb die effektive Entropie bei 232 oder unter der vom Benutzer gewählten Ausgabelänge. Wählen Sie 24 Wörter wegen des Spielraums, den sie unter normalen Bedingungen bieten, und betrachten Sie die Herkunft des Generators als separate Frage.
Wenn ein Generator in einer späteren Version korrigiert wurde, ist dann auch meine vorhandene Phrase korrigiert?
Nein. Ein korrigierter Generator gilt für Phrases, die nach dem Patch erstellt wurden. Eine aus einer schwachen Quelle gewonnene Phrase behält die Entropie, mit der sie erzeugt wurde, da die Wörter diesen Wert bereits kodieren und die Wallet jede Adresse daraus ableitet. Um diese Situation zu beheben, müssen Sie eine neue Phrase generieren und anschließend das Guthaben auf die aus der neuen Phrase abgeleiteten Adressen übertragen.
Muss ich ein neues Gerät kaufen, wenn meine Phrase schwach generiert wurde?
Normalerweise nicht. Jedes Gerät, das den Import oder die Wiederherstellung einer vorhandenen BIP39-Phrase unterstützt, akzeptiert eine neue, an anderer Stelle generierte Phrase, sodass Ihre Hardware mit einer Ersatzphrase weiterarbeiten kann. Wenn ein Anbieter ein Firmware-Update veröffentlicht hat, gilt dieses Update für Wallets, die danach erstellt wurden; eine vorhandene Phrase muss trotzdem ersetzt werden. Die tatsächlichen Kosten sind die On-Chain-Übertragung Ihres Guthabens an die neuen Adressen sowie neue Backup-Medien für die neuen Wörter.
Kann eine Passphrase eine schwache Seed-Phrase ausgleichen?
Eine BIP39-Passphrase verändert die aus einer bestimmten Phrase abgeleitete Wallet. Wenn ein Angreifer also eine schwache Phrase rekonstruiert, müsste er zusätzlich die Passphrase wiederherstellen, bevor er auf Guthaben zugreifen kann. Die zugrunde liegende Entropie der Phrase bleibt exakt so schwach wie zuvor, und die Passphrase fügt ein zweites Element hinzu, das Ihre Backup-Vorkehrungen überstehen muss, da ihr Verlust den Zugriff auf die Wallet verhindert. Betrachten Sie eine Passphrase als zusätzlichen Faktor und nicht als Reparatur für den Generator.
Über ELLIPAL
ELLIPAL ist seit 2018 auf dem Markt und hat mehr als 1 Million Nutzer in über 140 Ländern. ELLIPAL-Geräte folgen BIP39 und BIP44. Daher kann eine auf einem ELLIPAL-Gerät erstellte Wiederherstellungsphrase in jeder kompatiblen Wallet jeder Marke wiederhergestellt werden, und eine an anderer Stelle erstellte Phrase kann auf ELLIPAL-Hardware importiert werden. Der ELLIPAL Titan 2.0 verwahrt Schlüssel in einem zertifizierten Secure Element und unterstützt die Eingabe der Wiederherstellungsphrase direkt auf dem Gerät. Die ELLIPAL X Card verfügt über einen CC EAL6+ Secure Chip, und die Einrichtung wird auf der Offline-Einrichtungskarte ELLIPAL X Card Starter abgeschlossen. Die ELLIPAL App unterstützt mehr als 10.000 Token auf über 45 Blockchains.
Besitzen. Dann nutzen.
Sicherheitshinweis. Kein Self-Custody-Setup beseitigt jedes Risiko. Die Offline-Speicherung von Schlüsseln und das robuste Gerätedesign schließen erhebliche Kategorien von Remote-Angriffen aus, beseitigen jedoch nicht die Risiken durch physische Angriffe, die Lieferkette, Firmware, Social Engineering oder Benutzerfehler. Kaufen Sie bei einer offiziellen Quelle, bewahren Sie Ihre Wiederherstellungsphrase auf einem langlebigen Offline-Backup auf, das getrennt vom Gerät aufbewahrt wird, geben Sie diese Wörter nicht weiter und geben Sie sie nicht in eine mit dem Internet verbundene Anwendung ein. Überprüfen Sie außerdem jede Transaktion auf dem Signiergerät. Dieser Artikel enthält allgemeine Bildungsinformationen zur Wallet-Architektur und Seed-Generierung und stellt keine Finanz-, Anlage- oder Verwahrungsberatung dar.