Bitcoin-Projekt warnt vor kritischer Android-Lücke

Die Macher der virtuellen Währung Bitcoin haben eine nach eigenen Angaben kritische Sicherheitslücke in Android entdeckt. Die Schwachstelle betrifft Wallet-Apps, die Geldbörsen-Anwendungen sollen deshalb im aktuellen Zustand nicht verwendet werden. Wie es im offiziellen Blog auf Bitcoin.org heißt, habe man kürzlich von einer Schwachstelle erfahren, diese betrifft einen Bestandteil von Android, der für die Generierung von sicheren zufälligen Nummern verantwortlich ist. Da der Zufallszahlengenerator nicht ordnungsgemäß funktioniere, seien alle derzeit verfügbaren Android-Wallet-Apps anfällig für Diebstahl, heißt es.

Als betroffene Apps werden Bitcoin Wallet, Blockchain.info Wallet, BitcoinSpinner und Mycelium Wallet genannt, man betont allerdings, dass diese Aufzählung womöglich nicht vollständig ist. Im Blog-Beitrag schreibt man, dass derzeit Updates für alle vier genannten Apps vorbereitet werden.

Im Falle von Mycelium Wallet wurde eine aktualisierte Version (v0.6.5) mittlerweile bereits freigegeben, bei Bitcoin Wallet läuft derzeit ein Betatest des Updates. Frontend-Dienste wie Coinbase oder Mt Gox sind übrigens nicht betroffen, da die jeweiligen Schlüssel in diesem Fall nicht vom mobilen Google-Betriebssystem generiert werden.

Nach den jeweiligen Updates der Wallet-Apps sollten die Nutzer ihre Guthaben erneut sichern: Dabei sollten sie eine neue Adresse mit dem dann funktionierenden Zufallsgenerator erstellen und sich das gesamte Bitcoin-Guthaben aus der Wallet-Anwendung wieder an sich selbst schicken. Schließlich sollte man all jene kontaktieren, die noch ältere, also unsichere Adressen gespeichert haben und ihnen die neue bekannt geben.

Das renommierte Sicherheits-Blog Naked Security von Sophos verweist auf frühere Sicherheitsprobleme im Zusammenhang mit Bitcoins und Android. Naked Security schreibt, dass das Bitcoin-Projekt zwar selbst nichts Derartiges verschlägt, man selbst stellt sich aber sehr wohl die Frage, ob Bitcoin-Nutzer nicht lieber auf Android(-Apps) im Zusammenhang mit der virtuellen Währung verzichten sollten.