Eine Firmware-Schwachstelle in der Coldcard-Bitcoin-Hardware-Wallet hat es Angreifern ermöglicht, mindestens 1.367 BTC – im aktuellen Kurswert rund 86 Millionen US-Dollar – aus mehr als 4.500 Cold-Storage-Adressen in drei koordinierten Angriffswellen abzuziehen. Für den Exploit war kein physischer Zugriff auf ein Gerät erforderlich; stattdessen rekonstruierten die Angreifer private Schlüssel mithilfe mathematischer Verfahren von Grund auf. Coldcard, hergestellt vom in Toronto ansässigen Unternehmen Coinkite, wird unter Bitcoin-Anhängern der Selbstverwahrung wegen seines Air-Gapped-Designs und seines Sicherheitsrufs häufig genutzt, was das Ausmaß des Vorfalls für den Hardware-Wallet-Sektor besonders bedeutsam macht.

Galaxy Research: Drei vermutete Angriffe auf Coldcard-generierte Adressen ziehen 1.367 BTC ab Galaxy Research teilte mit, dass seine Bitcoin-On-Chain-Analyse drei vermutete Angriffswellen identifiziert habe, die sich gegen von Coldcard generierte Adressen richteten und 4.585 Adressen sowie insgesamt 1.367,05 BTC betrafen… pic.twitter.com/JdSz4W1TIk — Wu Blockchain (@WuBlockchain) August 1, 2026

Die Sicherheitsverletzung trifft den Kern der Bitcoin-Selbstverwahrung: die Annahme, dass ein offline gespeicherter privater Schlüssel praktisch unerreichbar ist. Dieser Angriff zeigte, dass ein mit unzureichender Zufälligkeit erzeugter Schlüssel weder unerreichbar noch unerratbar sein muss. Das transparente öffentliche Bitcoin-Ledger verstärkte die Gefahr – da alle Adressen on-chain sichtbar sind, konnten Angreifer Kandidatenschlüssel in Echtzeit mit tatsächlichen Guthaben vergleichen, was Entropie-Fehler im Vergleich zu intransparenten Finanzsystemen besonders ausnutzbar macht.

Der Vorfall spielt sich ab, während BTC bei rund 62.250 US-Dollar notiert, 1,4 % im Tagesvergleich verliert und Gerüchte kursieren, Michael Saylor könnte weitere Bitcoin-Bestände verkaufen, während sich die Frist für den CLARITY Act nähert, ohne dass ein Durchbruch absehbar ist.

$BTC ist wieder im Bereich von $62.000-$62.500. Hält dieses Niveau, könnte Bitcoin in Richtung $65.000 steigen. Fällt dieses Niveau, könnte BTC auf $60.000 sinken. pic.twitter.com/O877SmIdMU — Ted (@TedPillows) August 3, 2026

Wie ein defekter Zufallszahlengenerator Cold Storage kompromittierte

Coinkite bestätigte, dass ein Firmware-Fehler aus März 2021 bei der Erstellung von Seed-Phrasen eine Schwachstelle im Pseudozufallszahlengenerator (PRNG) des Geräts verursachte. Statt einen dedizierten Hardware-Zufallszahlengenerator zu nutzen, verließ sich die Firmware auf die Seriennummer und die Uhrregister des Mikrocontrollers. Dadurch wurde die Entropie der erzeugten Seeds drastisch reduziert und der Schlüsselraum von kryptografisch riesig auf praktisch zählbar verkleinert. Schwachstellen bei PRNGs sind im Krypto-Ökosystem bereits früher aufgetreten – ein Fehler im sicheren Zufallszahlengenerator von Android aus dem Jahr 2013 führte zu vorhersagbaren Wallet-Schlüsseln und direkten Bitcoin-Diebstählen –, was unterstreicht, dass die Erzeugung von Entropie sowohl bei Software- als auch bei Hardware-Wallets ein wiederkehrender Schwachpunkt bleibt.

Mit dem geschwächten Schlüsselraum konnten Angreifer Kandidaten-Seeds erzeugen, die entsprechenden Bitcoin-Adressen ableiten und diese Adressen gegen die öffentliche Blockchain auf Guthaben prüfen – ohne jemals die Hardware-Wallet des Opfers zu berühren.

Die Analyse von Galaxy Research beschrieb die erste Angriffswelle: Am 30. Juli stahlen Angreifer in nur 41 Minuten 1.082,65 BTC von 1.196 Adressen. Eine zweite Welle folgte und zog mithilfe ausgefeilterer Methoden, darunter das Bündeln von Transaktionen mehrerer Opfer, rund 208 BTC von 1.912 Adressen ab. Galaxy geht davon aus, dass die Angriffe von einem einzelnen Akteur orchestriert wurden, hat jedoch alle drei Wellen nicht abschließend miteinander verknüpft.

$1.6 million dollars in Bitcoin was drained from my account on July 29th in the Cold Card wallet hack. My Bitcoin was in cold storage. My keys were on a ColdCard device kept in a safety deposit box that had never been connected to the internet. This part's nerdy, but here's… pic.twitter.com/Lf9kJv9Jo4 — Jonathan Goodman (@itscoachgoodman) August 1, 2026

Betroffene Wallets und erforderliche Maßnahmen

Coinkite warnte zunächst Nutzer von Mk3-Geräten mit Firmware-Version 4.0.1 oder neuer und weitete den Hinweis später auf bestimmte Firmware-Versionen für Mk4, Mk5 und Coldcard Q aus. Notfall-Firmware-Updates wurden veröffentlicht, und CEO Rodolfo Novak entschuldigte sich und übernahm die „volle Verantwortung“ für den Fehler.

Das Aktualisieren der Firmware allein behebt die Schwachstelle jedoch nicht für Seeds, die mit einer verwundbaren Version erzeugt wurden. Nutzer, die Seeds auf anfälliger Firmware erstellt haben, müssen einen vollständig neuen Seed auf gepatchter Firmware erzeugen und sämtliche Gelder in eine neue Wallet übertragen. Der Zeitraum zwischen der Firmware-Veröffentlichung im März 2021 und den Angriffen im Juli 2026 bedeutet, dass betroffene Seeds über fünf Jahre lang im Einsatz gewesen sein könnten, was die Zahl der gefährdeten Wallets erhöht.

Jan3-CEO Samson Mow rief angesichts der laufenden Angriffe alle Coldcard-Nutzer dazu auf, ihre Gelder umgehend zu migrieren. Clay Garrett von Block teilte mit, dass ein kostenpflichtiges Konto verwendet wurde, um Quelladressen im Zusammenhang mit den Angriffen zu identifizieren, und dass diese Informationen an die Behörden weitergegeben wurden.

Selbstverwahrung verlagert das Risiko – sie beseitigt es nicht

Der Coldcard-Vorfall spiegelt ein breiteres Muster wider, das 2026 beobachtet wurde: Zwar sind Infrastruktur- und Schlüsselkompromittierungsfälle seltener geworden, sie machen jedoch einen unverhältnismäßig großen Anteil der Dollarverluste im Kryptosektor aus. Für den Hardware-Wallet-Bereich wirft der Vorfall Fragen dazu auf, wie die Qualität der Entropie unabhängig geprüft wird und ob Hersteller verpflichtet werden sollten, formale Sicherheitsnachweise für ihre Zufallszahlengenerator-Implementierungen zu veröffentlichen.

Spekulationen auf X zufolge könnten KI-gestützte Werkzeuge eine Rolle beim Entdecken oder Ausnutzen des PRNG-Fehlers gespielt haben, bestätigt wurde dies jedoch weder von Coinkite noch von Block.

Der Vorfall unterstreicht ein grundlegendes Prinzip der Hardware-Wallet-Sicherheit: Die Stärke eines Geräts hängt entscheidend von der Qualität der Zufälligkeit bei der Schlüsselerzeugung ab. Wie Galaxy Research anmerkte, bedeutet die sinkende Kostenstruktur bei der Analyse schwacher Schlüsselräume, dass die Branche strengere Standards für die Entropieprüfung einführen muss.

Für Bitcoin-Besitzer, die Coldcard-Geräte in Selbstverwahrung nutzen, wird empfohlen, die Firmware des Geräts anhand der offiziellen Hinweise von Coinkite zu überprüfen, auf vollständig aktualisierter Firmware einen neuen Seed zu erzeugen und sämtliche Gelder in eine sichere neue Wallet zu übertragen.