Mehr als 1.000 Bitcoin im Wert von etwa 70 Millionen Dollar wurden am 30. Juli in einem 41-Minuten-Fenster aus 1.196 Coldcard-Hardware-Wallets abgezogen, wie eine Analyse von Galaxy Research ergab. Die Summe liegt fast doppelt so hoch wie der Betrag, der zunächst gemeldet wurde, als der Diebstahl bekannt wurde.

Der Vorfall unterscheidet sich von typischen Krypto-Diebstählen, weil der Angreifer niemals auf die Geräte der Opfer zugreifen musste. Ein Firmware-Fehler in bestimmten Coldcard-Hardware-Wallets machte angeblich unerratbare Seed-Phrasen rechnerisch durchsuchbar und ermöglichte es dem Angreifer, private Schlüssel vollständig offline zu rekonstruieren und Gelder in großem Umfang abzuschöpfen.

Coldcard, hergestellt von der in Toronto ansässigen Firma Coinkite, ist eine nur für Bitcoin ausgelegte Hardware-Wallet, die bei Befürwortern der Selbstverwahrung wegen ihres Air-Gap-Designs und der Open-Source-Firmware beliebt ist. Die Nutzerbasis besteht vor allem aus Anwendern, die Souveränität über ihre privaten Schlüssel priorisieren, was ein Fehler bei der Seed-Erzeugung besonders folgenschwer macht für eine Gemeinschaft, die das Produkt gerade wegen seiner Sicherheitsmerkmale gewählt hat.

Sicherheitsfirmen warnen, dass weitere Wallets gefährdet bleiben, weil Besitzer nicht verlässlich feststellen können, ob ihre Seeds auf anfälliger Firmware erzeugt wurden. Die einzige verlässliche Gegenmaßnahme besteht darin, auf einem Gerät, das nachweislich korrekte Zufälligkeit verwendet, einen neuen Seed zu erzeugen und alle Gelder auf Adressen zu übertragen, die von diesem Seed abgeleitet sind. Ermittler verfolgen den Angreifer derzeit anhand von Protokollen, die von einem Blockchain-Datenanbieter stammen.

Galaxy Research rekonstruiert den vollständigen Ablauf

Galaxy Research veröffentlichte am Freitag seine vollständige Rekonstruktion des Vorfalls und stellte fest, dass zwischen 01:10 und 01:51 UTC 1.082,65 BTC über sechs Blöcke hinweg abgezogen wurden. Drei dazwischenliegende Blöcke enthielten keine zugehörigen Transaktionen, was darauf hindeutet, dass die Überweisungen in Chargen und nicht fortlaufend ausgesendet wurden.

Die Erlöse liegen derzeit auf vier Adressen und wurden nicht bewegt. Frühe Berichte erfassten nur eine dieser Adressen, weshalb der zunächst gemeldete Verlust inzwischen höher ausfällt.

Auch wenn der Gesamtwert des Diebstahls geringer ist als bei einigen der größten Angriffe in diesem Jahr, ist vor allem der Mechanismus das, was diesen Exploit besonders bedeutend macht.

Warum der Coldcard-Exploit ungewöhnlich ist

Bei den meisten Krypto-Diebstählen geht es um irgendeine Form von direktem Zugriff: Eine Börse wird kompromittiert, ein Smart Contract ausgetrickst oder ein privater Schlüssel vom Laptop eines Nutzers abgephisht. Die zentrale Verteidigung war stets Distanz — genau das, was eine Hardware-Wallet bieten soll. Bleibt der Schlüssel auf einem Gerät, das sich nie mit dem Internet verbindet, gibt es theoretisch nichts, woran ein Angreifer ansetzen kann.

Wenn eine Wallet erstellt wird, soll das Gerät eine Zahl auswählen, die so groß und unvorhersehbar ist, dass sie praktisch nicht erraten werden kann. Diese Zahl dient als Seed, aus dem jede Adresse und jeder private Schlüssel nach festen, öffentlich bekannten Regeln abgeleitet wird, die durch BIP39 und verwandte Standards definiert sind.

Die Firmware von Coldcard war dafür ausgelegt, diese Zahl aus einem dedizierten Hardware-Zufallsgenerator zu beziehen. Eine interne Build-Einstellung wies das Gerät jedoch an, diesen Generator zu umgehen. Eine Prüfroutine in einer unterstützenden Bibliothek kontrollierte nur, ob die Einstellung existierte, nicht ob sie tatsächlich aktiviert war.

Dadurch fiel die Schlüsselerzeugung auf einen einfachen Software-Ersatz zurück, der mit der Seriennummer des Chips und seinen Taktregistern gespeist wurde. Die Seriennummer ist feste Werksmetadaten, und Taktwerte sind ein Zeitstatus, den ein Angreifer auf einem eigenen Gerät eingrenzen oder messen kann.

Die Folge war, dass der Bereich der Schlüssel, die das Gerät jemals erzeugen konnte, von unvorstellbar groß auf zählbar schrumpfte. Fehler bei Zufallszahlengeneratoren sind in der Kryptowelt eine wiederkehrende Schwachstellenklasse: Ein Android-Secure-Random-Fehler von 2013 kompromittierte Bitcoin-Wallet-Schlüssel auf betroffenen Geräten, und ähnliche Schwächen tauchten seither immer wieder im Ökosystem auf.

Sicherheitsteams stellten fest, dass sich die Schlüsselerzeugung bei den älteren Modellen Mk2 und Mk3 vollständig enumerieren ließ. Bei den Modellen Mk4, Q und Mk5 schätzten sie den Bereich auf rund vier Milliarden Möglichkeiten. Vier Milliarden ist für einen Menschen eine große Zahl, für einen Computer jedoch trivial klein.

Ein Angreifer kann auf eigener Hardware Kandidaten-Seeds erzeugen, die daraus abgeleiteten Adressen berechnen und diese Adressen mit der öffentlichen Blockchain abgleichen, die jeder herunterladen kann. Jeder Schritt dieses Prozesses läuft auf dem Rechner des Angreifers. Das Gerät des Opfers ist zu keinem Zeitpunkt beteiligt und könnte in einem Safe auf einem anderen Kontinent ausgeschaltet sein.

Galaxys Analyse bestätigte diesen Ablauf in der Praxis. Von den geleerten Wallets verwendeten 1.183 das moderne native-Segwit-Adressformat, sieben ein älteres Standardformat und sechs ein noch älteres. Dass gleichzeitig über drei Adressformate hinweg Gelder ins Visier genommen wurden, spricht gegen die gezielte Auswahl einzelner Opfer — es deutet auf systematische Enumeration hin, bei der jeder Kandidat-Seed gegen jeden möglichen Ableitungspfad geprüft wurde.

Der Operator kann die Suche ausweiten, verfeinern und jederzeit zurückkehren. Galaxy warnte, dass weitere Wellen von Diebstählen wahrscheinlich sind, wenn betroffene Besitzer ihre Gelder nicht bewegen.

Entscheidend ist auch, dass ein Besitzer mit seiner eigenen Wallet keinen Test durchführen kann, der zeigt, ob sein Seed in den reproduzierbaren Bereich fällt. Solange das Problem nicht vollständig gelöst ist, muss jeder, der einen Seed auf betroffener Firmware erzeugt hat, vom Schlimmsten ausgehen.

Betroffene Modelle und Reaktion des Herstellers

Coinkite, der Hersteller von Coldcard, hat Mk3-Besitzer gewarnt und erklärt, dass seine neueren Geräte nicht betroffen seien. Block ordnet jedoch auch die Modelle Mk2, Mk4, Q und Mk5 in den betroffenen Bereich ein. Diese Abweichung bedeutet, dass das volle Ausmaß der betroffenen Geräte weiter ungeklärt bleibt, und die Differenz zwischen der Einschätzung des Herstellers und der Ermittler ist selbst ein Risikofaktor für Nutzer, die entscheiden müssen, ob sie handeln.

Der Fehler des Angreifers

Der Angreifer hinterließ jedoch eine Spur. Blocks Clay Garrett sagte auf X, der Operator habe während der Sweeps ein kostenpflichtiges Konto bei einem bekannten Blockchain-Datenanbieter verwendet, um die Quelladressen abzufragen. Laut Garrett stimmten die internen Protokolle des Anbieters mit dem vermuteten Ablauf mit außergewöhnlicher Genauigkeit überein — bis hin zu Zahl, Zeitpunkt und Reihenfolge der Anfragen.

1/ During our investigation of the Coldcard drain yesterday, we identified an unusual pattern in the sweeps. That pattern led us to a hypothesis that has since been confirmed: the operator used a paid account at a well-known blockchain-services provider to query the source… — Clay Garrett (@clay_garrett) July 31, 2026

Der Anbieter scheint gewöhnliche Dienste für Anfragen bereitgestellt zu haben, die keinen Hinweis auf ihren Zweck gaben. Block hat die Informationen an die Behörden weitergegeben.

Größere Bedeutung für Cold Storage

Cold Storage versprach immer, dass ein privater Schlüssel nicht erratbar sei. Die Branche verstand das weithin als Garantie dafür, dass ein Schlüssel auch nicht erreichbar sei. Der Coldcard-Exploit zeigt, dass dies zwei unterschiedliche Eigenschaften sind, und die Kosten für das Finden und Ausnutzen von Schwächen bei der ersten sinken weiter.

In einer separaten Entwicklung, die die sich wandelnde Bedrohungslage unterstreicht, veröffentlichte Anthropic am Dienstag Forschungsergebnisse, wonach eines seiner KI-Modelle die Sicherheit eines Kandidaten für einen post-quantenkryptografischen Algorithmus in 60 Stunden halbierte, und zwar gegen ein Design, das zuvor zwei Jahre lang die Prüfung durch Experten überstanden hatte.

Einen Schlüssel sicher zu speichern ist inzwischen der einfachere Teil des Problems. Sicherzustellen, dass er überhaupt korrekt erzeugt wurde, könnte der schwierigere sein.

Quelle: CoinDesk