Nutzer der Bitcoin-Self-Custody-Wallet Coldcard haben erhebliche Verluste erlitten, nachdem Hackergruppen in den vergangenen Tagen eine Software-Schwachstelle ausgenutzt haben. Branchenschätzungen zufolge wurden etwa 1.400 bis 1.816 Bitcoin – mit einem Gegenwert von rund 90 Millionen bis 116 Millionen Dollar – aus mehr als 5.200 betroffenen Wallets abgezogen. Coldcard, hergestellt von dem kanadischen Unternehmen Coinkite, ist eine Hardware-Wallet – ein physisches Gerät, das private Schlüssel offline speichert und allgemein als eine der sichersten Formen der Self-Custody gilt. Der Vorfall wiegt daher besonders schwer, da er zeigt, dass selbst Air-Gapped-Hardware kompromittiert werden kann, wenn ihre interne Software Fehler aufweist. Das Ereignis stellt einen deutlichen Rückschlag für die Bitcoin-Self-Custody dar – eine Praxis, die weithin als unerlässlich für die langfristige Widerstandsfähigkeit und Dezentralisierung des Bitcoin-Netzwerks angesehen wird.

Gemäß der Analyse von Grayscale deuten jedoch mehrere Faktoren darauf hin, dass die Auswirkungen möglicherweise begrenzter sind, als anfängliche Schlagzeilen vermuten lassen, und dass das übergeordnete Investmentargument für Bitcoin weitgehend unbeeinträchtigt bleibt.

Bitcoin-Protokoll nicht kompromittiert

Erstens wurde die Bitcoin-Blockchain selbst nicht kompromittiert. Die Schwachstelle war auf die spezifische Wallet-Software von Coldcard begrenzt und wirkte sich nicht auf die zugrunde liegende Kryptografie oder die Konsensmechanismen von Bitcoin aus, bei denen es noch nie einen dauerhaften, erfolgreichen Sicherheitsbruch gegeben hat. Diese Unterscheidung ist entscheidend: Der Vorfall geht auf einen Software-Fehler eines Drittanbieters zurück und nicht auf eine grundlegende Schwäche des Protokolls. Er unterstreicht auch eine seit langem bestehende Spannung im Krypto-Ökosystem – einzelne Wallet-Anbieter agieren unabhängig vom Protokoll selbst, was bedeutet, dass die Sicherheit der Nutzermittel stark von den Engineering-Praktiken und Code-Review-Prozessen jedes Anbieters abhängt.

Zweitens weist der übergeordnete Trend bei Krypto-Cybersicherheitsverlusten nach unten. Branchendaten projizieren Gesamtverluste von rund 1,7 Milliarden Dollar für das laufende Jahr – der niedrigste Jahreswert seit neun Jahren und etwa 0,1 % der aggregierten Krypto-Marktkapitalisierung –, was auf verbesserte Sicherheitspraktiken im gesamten Sektor hindeutet.

Drittens haben Anleger, die eine Bitcoin-Exposition ohne die Komplexität und Risiken der Self-Custody suchen, etablierte Alternative zur Verfügung. Bitcoin-Exchange-Traded-Products nutzen institutionelle Verwahrlösungen, die in der Regel getrennte Offline-Speicherung, Multi-Signature-Wallets, SOC-Zertifizierungen und Versicherungsschutz umfassen. Diese Strukturen können sowohl für institutionelle Teilnehmer als auch für Privatanleger attraktiv sein, die den operativen Aufwand einer direkten Verwaltung privater Schlüssel vermeiden möchten.

Während die Blockchain selbst und die in Sammelvehikeln gehaltenen Vermögenswerte sicher bleiben, ist die Untersuchung der Mechanik des Sicherheitsbruchs und seines breiteren Kontexts entscheidend, um die Auswirkungen auf die Verwahrlandschaft zu verstehen.

Technische Ursache und Angriffsverlauf

Der Vorfall geht auf ein Software-Update aus dem Jahr 2021 zurück, das die Art und Weise veränderte, wie Coldcard-Geräte Wallet-Wiederherstellungsphrasen generierten. Anstatt robuste, unvorhersehbare Zufälligkeit zu verwenden, führte das Update ein schematisches Abkürzungsverfahren für die Seed-Generierung ein. Wiederherstellungsphrasen – Wortfolgen, die als Hauptschlüssel für ein Wallet dienen – sind für ihre Sicherheit auf hochwertige Zufälligkeit angewiesen; die branchenweite BIP39-Spezifikation fordert ausreichende Entropie, gerade weil vorhersagbare Seeds von jedem reproduziert werden können. Sobald Angreifer dieses deterministische Verhalten identifiziert hatten, konnten sie den Vorgang rechnerisch nachvollziehen, Kandidaten-Wiederherstellungsphrasen in großem Maßstab generieren und mit aktiven Wallets abgleichen – vollständig ohne physischen Gerätezugang und damit unter Aufhebung des Offline-Sicherheitsmodells, auf dem Hardware-Wallets basieren.

Coinkite hat seitdem eine dringende Warnung herausgegeben und betroffene Nutzer aufgefordert, ihre Bestände umgehend zu transferieren.

Der Angriff verlief in vier unterschiedlichen Wellen ab dem 30. Juli. Blockchain-Ermittler rekonstruierten den ersten Abfluss, bei dem über 1.000 Adressen innerhalb eines Zeitfensters von 41 Minuten geleert wurden. Ein anschließender Sweep entzog fast 600 Bitcoin in 25 Minuten. Weitere Wellen folgten über das Wochenende bis zum Montag. Die Täter bleiben unidentifiziert, und kein staatlicher Akteur wurde mit der Operation in Verbindung gebracht.

Breitere Sicherheitslandschaft

Der Vorfall ereignet sich vor dem Hintergrund einer erhöhten Angriffsfrequenz. Blockchain-Analysen verzeichneten 207 separate Sicherheitsvorfälle in der ersten Jahreshälfte – die höchste Halbjahreszahl, die je aufgezeichnet wurde. Doch die insgesamt gestohlenen Gelder fielen sharply auf rund 972 Millionen Dollar – weniger als die Hälfte der 2,3 Milliarden Dollar, die im gleichen Zeitraum 2025 verloren gingen –, was darauf hindeutet, dass zwar die Angriffe zahlreicher geworden sind, die durchschnittlichen Verluste pro Vorfall jedoch gesunken sind.

Der Sicherheitsbruch hat die laufende Debatte unter Haltern über die Abwägungen zwischen Self-Custody und Third-Party-Lösungen verschärft. Einige Teilnehmer haben eine Hinwendung zu zentralisierten Plattformen und institutionellen Fahrzeugen mit erweiterten Schutzmaßnahmen angegeben, während andere der Ansicht bleiben, dass direkte Kontrolle trotz der zusätzlichen operativen Verantwortung vorzuziehen ist. Der Vorfall wird auch die Prüfung verschärfen, wie Wallet-Hersteller Zufälligkeit bei der Seed-Generierung implementieren und prüfen – ein Detail, das für Endnutzer schwer unabhängig zu verifizieren ist.

Die Marktreaktion auf das Ereignis fiel verhalten aus, wobei sowohl Bitcoin als auch Ethereum seit der Bekanntgabe des Vorfalls um weniger als ein Prozent nachgaben.