Die Schwachstelle mit dem Codenamen Ill Bloom hat bereits dazu geführt, dass mehr als 2.100 Adressen über die Netzwerke von Bitcoin, Ethereum, Tron, Rootstock und Polygon geleert wurden. Die bisherigen Gesamtverluste übersteigen 5,7 Millionen US-Dollar.
Normalerweise ist eine Seed-Phrase mit 12 Wörtern ein kryptografisch sicheres Schloss, das Milliarden von Jahren benötigt, um geknackt zu werden. In den CryptoJS-Bibliotheksversionen 3.x, beginnend mit 3.1.2, mit Ausnahme von 3.2.0 und 3.2.1, war die Funktion zur Zufallszahlengenerierung jedoch fehlerhaft.
Statt vollwertiger digitaler Zufälligkeit erzeugte sie vorhersehbare Kombinationen, wodurch die Sicherheit der Seed-Phrase auf einen äußerst begrenzten Bereich möglicher Varianten reduziert wurde.
Die Situation verschärfte sich dadurch, dass CryptoJS als „unsichtbare“ Komponente in Hunderten anderer Softwarepakete ausgeliefert wurde, während Wallet-Entwickler sie jahrelang blind nutzten.
Die erste Welle von Massendiebstählen ereignete sich am 27. Mai 2026, als an nur einem Tag 431 Konten betroffen waren und Angreifer auf einen Schlag 3,14 Millionen US-Dollar abzogen. Bitcoin-Inhaber traf es am schwersten und sie verloren 2,57 Millionen US-Dollar. Die restlichen Verluste verteilten sich auf Ethereum (286.000 US-Dollar), Rootstock (177.000 US-Dollar), Tron (81.000 US-Dollar) und Polygon (23.000 US-Dollar).
Updates helfen nicht: So schützen Sie Ihre Krypto-Vermögenswerte vor „Ill Bloom“
Bis August wurde die Liste der bestätigten betroffenen Anwendungen um RWallet (RRWallet), Bexo Wallet, NanChat, Bitcoin Libre und Milo Wallet erweitert. Einige von ihnen, darunter Milo und RWallet, sind bereits abgeschaltet worden und lassen ihre Nutzer ohne Unterstützung zurück.
Die Entwickler von Bitcoin Libre haben den Fehler in früheren Versionen behoben, NanChat hat einen frischen Patch veröffentlicht, während ein Update für Bexo Wallet noch auf die Genehmigung in den App-Stores wartet.
Der gefährliche Aspekt der Ill Bloom-Sicherheitslücke besteht darin, dass das bloße Aktualisieren einer Wallet-Anwendung die Gelder nicht schützt. Wenn eine Seed-Phrase ursprünglich durch das fehlerhafte System generiert wurde, bleibt sie mathematisch für immer kompromittiert.
Expertinnen und Experten raten Anlegern, ihre öffentlichen Adressen zu überprüfen und im Falle einer Bedrohung sofort auf neue Wallets zu migrieren. Sie sollten es grundsätzlich vermeiden, große Summen in Wallets aufzubewahren, deren Schlüssel im Browser generiert wurden.
