Coldcard Wallet Exploit: $100M+ Bitcoin gestohlen

Bitcoin-Investoren, die eines der vertrauenswürdigsten Hardware-Wallets auf dem Markt nutzten, haben durch einen raffinierten Exploit über 100 Millionen Dollar verloren, der mehr als fünf Jahre unentdeckt blieb. Der Angriff, erstmals am 30. Juli 2026 entdeckt, zielte auf Coldcard-Hardware-Wallets des kanadischen Herstellers Coinkite. Laut dem Blockchain-Forschungsunternehmen Galaxy Research wurden mindestens 1.596 Bitcoins – zum Zeitpunkt der Berichterstattung etwa 88 Millionen Euro wert, mit Schätzungen von bis zu 111 Millionen Euro – von über 7.000 Wallet-Adressen abgezogen.

Was ist passiert? Eine seit 2021 verborgene Schwachstelle

Die Ursache lag in einem Firmware-Bug, der im März 2021 eingeführt wurde. Coldcard-Geräte sollen als Festung für Bitcoin dienen: kleine, taschenrechnerähnliche Geräte, die eine geheime Wiederherstellungsphrase (Seed) generieren. Doch eine fehlerhafte Präprozessordirektive führte dazu, dass die Firmware stillschweigend auf einen schwachen softwarebasierten Zufallszahlengenerator zurückfiel, anstatt den dedizierten Hardware-True-Random-Number-Generator (TRNG) zu nutzen. Dadurch wurden Seeds mit drastisch reduzierter Entropie erstellt – auf älteren Modellen nur 40 Bit statt der erwarteten 128 Bit – und damit praktisch durch Brute-Force angreifbar.

Sicherheitsforscher von Block (vormals Square) beschrieben, wie der fehlerhafte Code es Angreifern ermöglichte, Seed-Datenbanken vorzuberechnen und Einlagen in Echtzeit zu räumen, ohne jemals die Geräte zu berühren. "Die Schwachstelle bedeutete, dass ein Angreifer ohne physischen Zugriff auf den Coldcard die privaten Schlüssel ableiten und die Gelder stehlen konnte", erklärte das Forschungsteam von Galaxy.

Wie der Angriff ablief

Der Diebstahl erfolgte in mehreren Wellen. In der ersten Angriffswelle, die nur 41 Minuten dauerte, wurden etwa 70 Millionen Dollar in Bitcoin von rund 1.200 Adressen abgezogen. Weitere Wellen folgten, darunter ein 25-minütiger Raubzug auf etwa 500 Wallets mit weiteren 38 Millionen Dollar. Galaxy Research identifizierte mindestens 15 unabhängige Angreifer, die dieselbe Schwachstelle ausnutzten. Der Täter hinter dem größten Raub bleibt unbekannt.

Coinkite meldete die Schwachstelle am 30. Juli 2026 und veröffentlichte am nächsten Tag ein Notfall-Firmware-Update. Das Unternehmen betonte jedoch, dass ein Update bereits generierte Seeds nicht repariert – betroffene Nutzer müssen mit der gepatchten Firmware völlig neue Seeds erstellen und ihre Gelder sofort verschieben. In einer öffentlichen Erklärung warnte Coinkite: "Kunden laufen weiterhin Gefahr, dass ihre Kryptowährungen gestohlen werden. Bewegen Sie Ihre Bitcoins jetzt an einen sicheren Ort."

Der Vorfall hat das Vertrauen in den Hardware-Wallet-Markt erschüttert. Jahrelang trieb das Mantra "Nicht deine Schlüssel, nicht deine Coins" Nutzer zu Hardware-Wallet-Lösungen zur Selbstverwahrung wie Coldcard. Nun wird dieses Vertrauen infrage gestellt.

Breitere Auswirkungen auf die Krypto-Sicherheit

Der Coldcard-Exploit erfolgt in einem turbulenten Jahr für die Kryptowährungssicherheit. Im Februar 2025 erlitt die Bybit-Börse einen 1,5-Milliarden-Dollar-Hack, der nordkoreanischen staatlich gesponserten Hackern zugeschrieben wird. Ein weiterer Vorfall sah 100 Millionen Dollar von Promi-Krypto-Konten gestohlen. Diese Ereignisse, kombiniert mit dem jüngsten Hardware-Wallet-Vorfall, haben die Debatte neu entfacht, ob Verwahrung durch zentralisierte Börsen manchmal sicherer sein könnte als Selbstverwahrung.

Branchengrößen haben sich geäußert. Changpeng "CZ" Zhao, ehemaliger CEO von Binance, kommentierte die Ironie, dass ein als sicherstes beworbenes Gerät einen so tief verwurzelten Fehler beherbergen könnte. Unterdessen werden Best Practices für Bitcoin-Sicherheit überdacht, wobei Experten nun betonen, zusätzliche Entropie durch Würfelwürfe oder starke BIP-39-Passphrasen hinzuzufügen.

FAQ

Was verursachte den Coldcard-Wallet-Hack?

Ein Firmware-Bug, der im März 2021 eingeführt wurde, führte dazu, dass Coldcard-Geräte Wiederherstellungs-Seeds mit einem schwachen Software-Zufallszahlengenerator anstelle des sicheren Hardware-TRNG generierten. Dadurch wurden Seeds vorhersagbar und private Schlüssel durch Brute-Force knackbar.

Wie viel Bitcoin wurde beim Coldcard-Exploit gestohlen?

Bis zum 12. August 2026 hatte Galaxy Research "hohe Zuversicht", dass mindestens 1.596 BTC (über 88 Millionen Euro) von etwa 7.300 Adressen gestohlen wurden. Die Gesamtverluste könnten 111 Millionen Euro erreichen.

Sind Coldcard-Wallets noch sicher zu verwenden?

Aktualisierte Firmware (veröffentlicht am 31. Juli 2026) behebt den Fehler für zukünftige Seed-Generierungen. Jeder Seed, der mit betroffener Firmware (März 2021–Juli 2026) erstellt wurde, ist jedoch möglicherweise kompromittiert. Nutzer müssen auf gepatchten Geräten neue Seeds generieren und alle Gelder transferieren.

Wer steckt hinter dem Coldcard-Hack?

Die Angreifer sind unbekannt. Galaxy Research identifizierte mindestens 15 unabhängige Akteure, die dieselbe Schwachstelle ausnutzten, was darauf hindeutet, dass der Fehler nach der ersten Welle in kriminellen Kreisen weithin bekannt wurde.

Betrifft dies andere Hardware-Wallets?

Nein. Die Schwachstelle ist spezifisch für Coldcard-Firmware-Versionen mit der fehlerhaften Präprozessorprüfung. Wallets von Ledger, Trezor und anderen Herstellern sind nicht betroffen.