Coinkite, der Hersteller der Coldcard-Hardware-Wallet – eines Geräts, das unter Befürwortern der Bitcoin-Self-Custody lange als Premium-Option galt – hat Nutzer über erhebliche Änderungen seiner Datenaufbewahrungspraxis informiert, nachdem ein Exploit über 116 Millionen Dollar, der größte Sicherheitsvorfall im Juli 2026, aufgetreten war. Die Mitteilung, die am frühen Freitag erneut auf Coldcards offiziellem X-Konto veröffentlicht wurde, kündigte an, dass Coinkite Kundendaten künftig nicht mehr automatisch löschen wird.

Die Kehrtwende bei der Richtlinie steht direkt im Zusammenhang mit einem Firmware-Exploit, der seit dem 30. Juli 2026 mehr als 100 Millionen Dollar in Bitcoin aus Coldcard-Hardware-Wallets abgezogen hat.

Änderungen beim Umgang mit Nutzerdaten

Coinkite bestätigte, dass das Unternehmen die Verarbeitung von Kundendaten „in connection with the security incident disclosed on July 30, 2026“ ändern wird. Vor dieser Änderung löschte das Unternehmen routinemäßig Kundendaten und behielt lediglich E-Mail-Adressen und Wohnsitzländer.

Die Umstellung wird als Vorbereitung auf „legal obligations“ im Zusammenhang mit dem Diebstahl beschrieben. Groß angelegte Krypto-Exploits führen häufig zu zivilrechtlichen Klagen und behördlichen Untersuchungen, Verfahren, die in der Regel eine längere Aufbewahrung von Transaktionsaufzeichnungen, Kundenkommunikation und forensischen Beweisen erfordern. Coinkite hat nicht angegeben, welche zusätzlichen Daten das Unternehmen speichern will oder wie lange die neue Aufbewahrungsfrist gelten soll.

Der Schritt markiert eine bemerkenswerte Abkehr von den Privacy-first- und Self-Custody-Prinzipien, die in der Bitcoin-Community seit Langem vertreten werden und bei denen die Minimierung der Datenerhebung als zentrales Sicherheitsmerkmal und nicht nur als Frage der Privatsphäre gilt.

Details zum Exploit

Die Überarbeitung der Datenaufbewahrung folgt auf einen der schwersten Sicherheitsvorfälle des Jahres 2026. Die Schwachstelle betraf Firmware-Version 4.0.1, die Coinkite im März 2021 ausgeliefert hatte.

Im Zentrum des Exploits steht die Art und Weise, wie Hardware-Wallets Seed-Phrasen erzeugen. Eine Seed-Phrase kodiert die Entropie, aus der alle privaten Schlüssel abgeleitet werden; ist der Zufallszahlengenerator, der diese Entropie erzeugt, fehlerhaft, können Angreifer dieselben Schlüssel unabhängig rekonstruieren, ohne das physische Gerät jemals zu berühren. Diese Schwachstellenklasse ist besonders schwerwiegend, weil sie die Hardware-Schutzmechanismen – Secure Elements, PIN-Abfragen und physische Manipulationssicherheit – umgeht, die den Wert einer Hardware-Wallet ausmachen.

Wie TRM Labs warnte, schützt die Installation der gepatchten Firmware nur Wallets, die künftig erstellt werden. Jede Seed-Phrase, die auf einer verwundbaren Coldcard zwischen März 2021 und der Veröffentlichung des Patches erzeugt wurde, sollte als kompromittiert gelten.

Cryptopolitan hat seit der ersten Bekanntgabe des Exploits am 30. Juli vier Angriffswellen dokumentiert. Die erste Welle zog rund 594 BTC ab – damals fast 38 Millionen Dollar wert – aus etwa 500 Wallets in nur 25 Minuten. Galaxy Research verfolgte in den folgenden vier Tagen drei weitere Wellen. Zum Zeitpunkt dieses Berichts hat der Angreifer 1,816 BTC über mehr als 5,200 Adressen angesammelt.

TRM Labs stuft den Vorfall als den drittgrößten Krypto-Hack des Jahres 2026 ein, einem Jahr, in dem die Branche bereits mehr als 1,2 Milliarden Dollar über 276 Vorfälle verloren hat. Anders als Smart-Contract-Exploits, die bei Börsen- und DeFi-Verlusten dominieren, untergraben Hardware-Wallet-Exploits direkt das Vertrauensmodell der Offline-Self-Custody – ein Segment, das historisch weniger von Dritten sicherheitsseitig geprüft wurde als Protokolle und dApps.

Coinkite weist Vorwürfe über Vorwissen zurück

Mit den steigenden Verlusten nahmen auch die Vorwürfe zu, Coinkite habe die Schwachstelle jahrelang gekannt. Das Unternehmen hat diese Darstellungen öffentlich zurückgewiesen.

In der Antwort an Jack Mallers am 7. August erklärte COLDCARD auf X, dass es „there wasn't a weak entropy fallback“ gegeben habe, und argumentierte, dass der schwache Pseudozufallszahlengenerator (PRNG) namens Yasmarang der in MicroPython integrierte allgemeine Generator sei, der aus dem Upstream eingeführt wurde – und kein von Coinkite entwickelter Fallback.

Unabhängig davon berichteten Meldungen am 5. August, dass sich eine 2021er Rabbit Hole Recap-Folge, die häufig als Beleg für Vorwissen zitiert wurde, in Wirklichkeit auf eine andere Schwachstelle bezog – nicht auf das RNG-Problem. Coinkites eigene historische Offenlegungsseite listet 23 sicherheitsrelevante Ereignisse seit 2019 auf, und das Unternehmen hat Kritiker wiederholt darauf verwiesen.

Kanada war am stärksten betroffen

Die geografische Verteilung verzerrte das Ausmaß der Schäden. Cryptopolitan berichtete am 5. August, dass sich etwa 25% der zugerechneten Verluste auf Inhaber in Kanada zurückführen ließen; auch die Vereinigten Staaten und Thailand waren stark betroffen. Grundlage waren Chainalysis-Daten, die die Wallet-Adressdatenbank mit wahrscheinlichen Regionen verknüpften.

Chainalysis führte Kanadas überproportionale Betroffenheit auf frühe Bitcoin-Adoption und Influencer-Kampagnen zurück, die Coldcard im Land bewarben.

Die Folgen reichen über die direkten Verluste hinaus. In der wöchentlichen Research-Notiz von CoinMarketCap hieß es, der Hack habe das Vertrauen in Self-Custody-Lösungen erschüttert und einige Bitcoin-Nutzer zurück zu zentralisierten Börsen gedrängt. Als Reaktion darauf hat eine Gruppe namens Red Team unter Leitung von AnchorWatch-CEO Rob Hamilton mit KI-gestützten Audits von Bitcoin-Wallets und Bibliotheken begonnen und bislang 150 Repositories überprüft.

Wenn Sie dies lesen, sind Sie bereits voraus. Bleiben Sie dort mit unserem Newsletter.