Alex Thorn, Managing Director und Head of Firmwide Research bei Galaxy Digital, berichtete von einer wahrscheinlich vierten organisierten Angriffswelle gegen Coldcard-Wallet-Nutzer gegen 1:00 UTC am 3. August 2026 – nur wenige Tage nach der Überprüfung der ersten Welle. Coldcard, eine ausschließlich für Bitcoin ausgelegte Hardware-Wallet von Coinkite, wird von Self-Custody-Nutzern wegen ihres air-gapped Signaturmodells häufig verwendet, was wiederholte koordinierte Sweeps zu einem erheblichen Problem für einen Teil der Nutzer macht, die für den Schutz ihrer Schlüssel auf dedizierte Hardware setzen.

Thorns On-Chain-Analyse umfasste die Bitcoin-Blöcke 960,778 bis 960,792 und damit rund zweieinhalb Stunden Aktivität, die zum Zeitpunkt der Veröffentlichung noch andauerte. Der Cluster enthielt 218 Transaktionen mit 462 vermuteten Opferadressen und 216 zuvor ungenutzten Zieladressen. Zusammen bewegten sie 388.92748828 BTC. Bei einem Bitcoin-Kurs von rund $62,700 zum Zeitpunkt der Veröffentlichung entsprach dies etwa $24.4 Millionen.

Die Zahl bezieht sich auf vermutete Überweisungen und nicht auf bestätigte, irreversibel verlorene Mittel. Einige Transaktionen warteten noch im Mempool von Bitcoin, und die Zuordnung zu Coldcard beruhte auf Thorns On-Chain-Analyse und nicht auf einer abgeschlossenen Untersuchung durch Coinkite oder Strafverfolgungsbehörden.

🚨 LIKELY 4TH ORGANIZED WAVE COLDCARD ATTACK OCCURRING RIGHT NOW

THERE ARE STILL SIMILAR TXS IN THE MEMPOOL WAITING TO BE CONFIRMED AND THE PREVIOUSLY-CONFIRMED TXS SIGNAL RBF OPT-IN, CHECK YOUR FUNDS AND YOU MAY BE ABLE TO RBF YOUR WAY OUT OF THIS

pattern identified: blocks…

— Alex Thorn (@intangiblecoins) August 3, 2026

Das Muster entsprach dem früheren Coldcard-Vorfall

Thorn verzeichnete ungefähr 13.8 vermutete Sweeps pro Bitcoin-Block, verglichen mit 0.3 pro Block während eines Kontrollzeitraums vor dem Vorfall – also etwa 45-mal mehr als normal.

Auch die Input-Historie entsprach der früher vermuteten Coldcard-Aktivität. Laut Thorn stammte keiner der Transaktionseingänge aus der Zeit vor der mit der Schwachstelle verbundenen Firmware-Grenze. Im Bereich der Hardware-Wallet-Sicherheit markiert eine Firmware-Grenze typischerweise den Punkt, an dem ein Software-Update geändert hat, wie das Gerät private Schlüssel verwaltet oder Transaktionen signiert; das bedeutet, dass Adressen, die nur vor diesem Punkt erstellt oder verwendet wurden, möglicherweise nicht derselben Gefährdung unterliegen.

Auch das Zielmuster war entsprechend konsistent. Fast jede Transaktion sendete Gelder an eine separate, neu erstellte Adresse, nur ein Ziel erhielt zwei Sweeps. Anstatt die Bitcoin sofort in einer einzigen Sammel-Wallet zu konsolidieren, verteilten die Transaktionen die Gelder auf Hunderte frischer Adressen, wodurch der Cluster auf den ersten Blick weniger auffällig war.

Zusammengenommen führten der starke Anstieg der Sweeps, die übereinstimmende Input-Historie und die wiederholte Nutzung frischer Zieladressen dazu, dass Thorn die Aktivität einer weiteren Welle von Coldcard-Opfern zuordnete. Die Analyse identifizierte weder, wer die Empfangsadressen kontrollierte, noch wie viele einzelne Nutzer betroffen waren.

Einige ausstehende Transaktionen könnten noch ersetzbar sein

Die Gesamtmenge von 388.9 BTC umfasst Transaktionen, die bereits bestätigt waren, sowie andere, die noch im Mempool warteten – dem Wartespeicher, in dem gültige Bitcoin-Transaktionen verbleiben, bis ein Miner sie in einen Block aufnimmt.

Eine unbestätigte Transaktion kann noch ersetzbar sein, wenn sie Replace-by-Fee, kurz RBF, signalisiert. Thorn sagte, die bestätigten Transaktionen in dem Cluster hätten vor dem Einfügen in einen Block RBF-Opt-in signalisiert, und ähnliche Transaktionen, die noch auf Bestätigung warten, könnten dieselbe Einstellung verwenden. RBF ist seit 2016 eine Standardfunktion von Bitcoin Core und wird zum Zeitpunkt der Erstellung einer Transaktion aktiviert, was bedeutet, dass nicht alle unbestätigten Transaktionen ersetzt werden können.

Der RBF-Mechanismus von Bitcoin erlaubt es, eine unbestätigte Transaktion durch eine andere Transaktion zu ersetzen, die dieselben Coins mit einer höheren Gebühr ausgibt. Ein betroffener Besitzer, der noch die relevanten privaten Schlüssel kontrolliert, kann die Bitcoin daher möglicherweise an eine sichere Wallet umleiten, indem er eine gültige Ersatztransaktion mit einer höheren Gebühr als der Transaktion des Angreifers sendet.

Eine Wiederherstellung ist jedoch nicht garantiert. Der Ersatz muss den Transaktionsrichtlinien von Bitcoin entsprechen, der Angreifer kann die Gebühr ebenfalls erhöhen, und die Möglichkeit endet, sobald die unautorisierte Transaktion bestätigt ist.

Second-Hop-Überweisungen schließen das RBF-Fenster

Thorn stellte fest, dass ein Teil der Bitcoin bereits von den ursprünglichen Zieladressen in Second-Hop-Wallets verschoben worden war. Eine First-Hop-Adresse empfängt den ursprünglichen Sweep; ein Second Hop liegt vor, wenn die Bitcoin erneut an eine andere Adresse übertragen werden.

Diese Bewegung zeigt, dass der ursprüngliche Sweep bereits bestätigt wurde, wodurch die Möglichkeit entfällt, ihn über RBF zu ersetzen. Replace-by-Fee kann mit einer noch im Mempool befindlichen Transaktion konkurrieren, aber eine bereits auf der Blockchain verzeichnete Transaktion kann nicht rückgängig gemacht werden.

Die Bitcoin bleiben on-chain nachverfolgbar, auch wenn weitere Übertragungen sie auf zusätzliche Adressen aufteilen, mit anderen Geldern kombinieren oder in Richtung Börsen und anderer Dienste verschieben können. Eine Wiederherstellung kann dann davon abhängen, diese Dienste zu identifizieren und die Kooperation ihrer Betreiber oder der Strafverfolgungsbehörden zu erhalten.

Was Coldcard-Nutzer jetzt tun sollten

Thorn forderte Nutzer auf, schnell zu handeln:

MOVE YOUR FUNDS OFF COLDCARD DEVICES ASAP AND USE HIGH TX FEES.

MOVE YOUR FUNDS OFF COLDCARD DEVICES ASAP AND USE HIGH TX FEES.

Nutzer sollten zunächst ihre Transaktionshistorie auf ausgehende Zahlungen prüfen, die sie nicht autorisiert haben.

Bleibt eine verdächtige Transaktion unbestätigt und ist als ersetzbar markiert, kann der Besitzer möglicherweise noch eine Transaktion mit höherer Gebühr senden, die dieselben Bitcoin an eine sichere Wallet überträgt. Wer mit dem Verfahren nicht vertraut ist, sollte umgehend Hilfe von einem vertrauenswürdigen Bitcoin-Sicherheitsexperten suchen, statt mit den betroffenen Geldern zu experimentieren.

Verbleibende Bitcoin sollten in eine neue Wallet übertragen werden, die mit frischen Sicherheitsdaten erstellt wurde. Das Verschieben von Geldern an eine andere Adresse, die aus demselben möglicherweise kompromittierten Seed erzeugt wurde, würde das zugrunde liegende Risiko nicht beseitigen.

Nutzer sollten niemals eine Seed-Phrase, einen privaten Schlüssel, ein Wallet-Backup oder eine PIN an jemanden weitergeben, der Hilfe bei der Wiederherstellung anbietet. Diese Geheimnisse werden nicht benötigt, um eine öffentliche Transaktion zu prüfen oder festzustellen, ob sie noch unbestätigt ist.

Wenn eine unautorisierte Transaktion bereits bestätigt wurde, sollten Nutzer die Transaktions-ID, Wallet-Aufzeichnungen und relevante Geräteinformationen für Nachverfolgung, Meldung und eine spätere Untersuchung aufbewahren.

Sicherheitswarnung: Geben Sie niemals eine Seed-Phrase, einen privaten Schlüssel, ein Wallet-Backup oder eine PIN an jemanden weiter, der Hilfe bei der Wiederherstellung anbietet. Nutzer mit einer unbestätigten unautorisierten Transaktion sollten umgehend Hilfe von einem vertrauenswürdigen Bitcoin-Sicherheitsexperten suchen.

Methodik

Der Artikel verwendet Alex Thorns On-Chain-Analyse vom 3. August 2026 zu den Bitcoin-Blöcken 960,778 bis 960,792. Die Dollar-Schätzung multipliziert 388.92748828 BTC mit dem angegebenen Bitcoin-Preis von $62,700. Die Zuordnung zur Angriffswelle entspricht Thorns Einschätzung und sollte nicht als endgültige Feststellung von Coinkite, Strafverfolgungsbehörden oder einer unabhängigen forensischen Untersuchung verstanden werden.