Hacker entziehen weiterhin Gelder aus Coldcard-Bitcoin-Wallets. Die Gesamtschäden werden nun auf über 114 Millionen Dollar geschätzt, was diesen Vorfall zu einem der größten kompromittierten Hardwarewallets in der Geschichte von Bitcoin macht.

Eine vierte Angriffswelle begann vermutlich am Sonntagnabend, so Alex Thorn von Galaxy Research. In einem Beitrag gegen 19:50 Uhr New Yorker Zeit berichtete Thorn, dass 388,9 Bitcoin – im Wert von mehr als 29 Millionen Dollar – in neuen Transaktionen bewegt worden seien, die mit hoher Wahrscheinlichkeit mit dem fortlaufenden Diebstahl zusammenhängen.

Die Angriffe wurden erstmals am Donnerstag bekannt, als Hacker über 35 Millionen Dollar an Bitcoin aus betroffenen Wallets stahlen. Coinkite, der Hersteller von Coldcard, führte die Schwachstelle auf einen Firmware-Bug in Coldcard-Mk3-Geräten zurück, der ab Version 4.0.1 aus März 2021 auftrat. Der Bug bewirkte, dass die Seed-Erzeugung auf einen schwachen softwarebasierten Pseudozufallszahlengenerator zurückgriff anstatt auf den hardwarebasierten echten Zufallszahlengenerator. Dies ermöglichte es Angreifern praktisch, die Seed-Phrases der Nutzer zu erraten. Da Seed-Phrases den Hauptschlüssel einer Self-Custody-Bitcoin-Wallet darstellen – wer sie besitzt, kann die Gelder ohne das physische Gerät ausgeben – unterlief der Fehler die zentrale Sicherheitszusage von Cold Storage.

Da die Schwachstelle in einer Firmware-Version aus dem frühen Jahr 2021 ihren Ursprung hat, können Wallets, die im Laufe von Jahren auf betroffenen Geräten erstellt wurden, kompromittierte Seeds aufweisen.

Der Diebstahl hielt das gesamte Wochenende an, während Coinkite und andere Mitglieder der Bitcoin-Community Coldcard-Nutzer drängten, ihre Gelder unverzüglich zu transferieren.

In einem Beitrag auf X am Montag wies Josef Tětek von Trezor darauf hin, dass die bisher größte Einzentransaktion im Rahmen des laufenden Diebstahls 51 Bitcoin umfasste.

The biggest drained address (so far) is 51 BTC. Damn. Imagine owning 50+ btc in cold storage and losing it all. Must be absolutely crushing. pic.twitter.com/qu6CiQOjeV — Josef Tětek (@JosefTetek) August 3, 2026

Nach weiteren Diebstählen räumte Coinkite ein, dass alle seine Modelle gefährdet waren. Ingenieure warnten davor, dass letztlich jede Bitcoin-Adresse, die mit Coldcard verknüpft ist, riskant sein könnte.

Am Sonntag erklärte das Unternehmen, es stelle sich „harten Fragen über unser Unternehmen“.

„Die letzten drei Tage gehörten zu den schwersten in der Geschichte dieses Unternehmens, und für viele, die dies lesen, waren sie etwas viel Schlimmeres“, erklärte Coinkite. „Geld, dessen Ansparung Jahre dauerte – weg. Vertrauen, das Jahre brauchte, um aufzubauen – gebrochen. Diese Auswirkungen sind real, und für manche ist der Schaden dauerhaft.“

Coinkite bestätigte außerdem, dass es sein verbleibendes Coldcard-Lager, das mit der verwundbaren Firmware hergestellt wurde, vernichtet habe und dass alle Produktlieferungen eingestellt wurden. Das Unternehmen stellt eine Reihe von Bitcoin-Produkten her, darunter auch seine weit verbreiteten Cold-Storage-Hardwarewallets.

Ingenieure des Zahlungsunternehmens Block führten eine unabhängige Untersuchung des Hacks durch. Sie berichteten, dass die Angreifer einen großen Blockchain-Dienstleister zur Hilfe beim Verschieben der gestohlenen Gelder nutzten. Block gab an, sowohl den Dienstleister als auch die Bundesbehörden über seine Erkenntnisse informiert zu haben. Der Vorfall verdeutlicht eine breitere Herausforderung für die Hardwarewallet-Branche: Die Integrität der Zufallszahlengenerierung auf Fertigungs- und Firmware-Ebene ist entscheidend für die Sicherheit der Nutzer, und selbst Air-Gapped-Geräte sind nur so vertrauenswürdig wie die Entropie, die ihrer Seed-Erzeugung zugrunde liegt.