Ein Firmware-Schwachpunkt in Coldcard-Hardware-Wallets hat eines der bedeutendsten Bitcoin-Sicherheitsereignisse des Jahres 2026 ausgelöst, wobei die Verluste nun auf über 130 Millionen Dollar geschätzt werden.

Laut On-Chain-Analysen hat der Angreifer, der für den Diebstahl von 2.055 BTC (ca. 130 Millionen Dollar) verantwortlich ist, seine Aktivität wieder aufgenommen. Blockchain-Ermittler Lookonchain berichtete am 7. August 2026:

The #Coldcard hacker, who stole 2,055 $BTC ($130M), is active again. An hour ago, the hacker transferred 30.185 $BTC ($1.94M) to a new wallet. pic.twitter.com/VTL5UB9xgH
— Lookonchain (@lookonchain) August 7, 2026

Die Ursache des Schwachpunkts geht auf März 2021 zurück, als ein Firmware-Bug die Zufälligkeit der Seed-Generierung auf betroffenen Coldcard-Geräten beeinträchtigte. Dadurch wurde die kryptografische Schlüsselstärke von 128 Bits auf etwa 40 Bits reduziert, was die Wallets ohne physischen Zugriff auf die Hardware für Brute-Force-Angriffe anfällig machte. Bei 40 Bits schrumpft der Schlüsselraum um einen Faktor von Billionen im Vergleich zur vorgesehenen 128-Bit-Sicherheit, wodurch betroffene Wallets mit handelsüblicher Computerhardware erreichbar wurden. Coldcard, hergestellt von Coinkite, wird unter Verfechtern von Bitcoin-Selbstverwahrung aufgrund seines Air-Gap-Designs weit verbreitet verwendet, was den Zufälligkeitsfehler besonders folgenreich für Nutzer macht, die das Gerät speziell wegen seiner Sicherheitseigenschaften ausgewählt haben.

Galaxy Digital bestätigte mindestens drei Angriffswellen, die insgesamt Gelder aus 7.300 betroffenen Wallets abzogen. Eine vermutete vierte Welle könnte die Gesamtverluste weiter erhöhen.

Bitcoin-On-Chain-Aktivität steigt rasant an

Die Blockchain-Analysefirma Glassnode meldete, dass die aktiven Bitcoin-Adressen nach dem Exploit auf etwa 980.000 pro Tag anstiegen – der höchste Stand seit Dezember 2024. Glassnode betonte, dass der Anstieg eine defensive Maßnahme und kein bullischer Markttrend widerspiegelte, und beschrieb ihn als „eine operative Sicherheitsreaktion, keine Veränderung der Marktüberzeugung.“

Inaktives Bitcoin im Wert von fast dem 200-Fachen des ursprünglich gestohlenen Betrags wurde über das Netzwerk bewegt, was auf weit verbreitete vorsorgliche Umschichtungen durch Halter hindeutet.

Auslöser für die breitere On-Chain-Reaktion war der Diebstahl von 594 Bitcoin am 31. Juli, der damals etwa 38 Millionen Dollar wert war. Galaxy Research bestätigte anschließend, dass die Gesamtverluste 1.596 Bitcoin überschritten hatten, die mehr als 100 Millionen Dollar wert waren. Das mehr als fünf Jahre umfassende Zeitfenster zwischen der Einführung des Firmware-Bugs im März 2021 und der ersten gemeldeten Ausnutzung Mitte 2026 unterstreicht die Schwierigkeit, subtile kryptografische Schwachstellen in weit verbreiteter Hardware zu erkennen, selbst innerhalb einer Gemeinschaft, die Open-Source-Verifizierung betont.

Angreifer leiten Gelder über Mixing-Services

Die Blockchain-Sicherheitsfirma CertiK verfolgte die Bewegung der gestohlenen Vermögenswerte. Etwa 64 Bitcoin im Wert von 4,17 Millionen Dollar wurden an Wasabi gesendet, ein Bitcoin-Mixing-Protokoll. Separat wurden 200 Ether im Wert von etwa 380.000 Dollar an Tornado Cash weitergeleitet. CertiK veröffentlichte Details über X:

#CertiKInsight 🚨 Our alert system detected two 200 ETH transactions sent to Tornado Cash linked to the ongoing @COLDCARDwallet attack. The funds were bridged from BTC to ETH address 0x41B7529a411EeA979a8d468bdEBd36b0ad703268 via THORChain before being sent to Tornado Cash. pic.twitter.com/JLazHWIEvo
— CertiK Alert (@CertiKAlert) August 5, 2026

CertiK deutete an, dass einige dieser Überweisungen von Nachahmungstätern stammen könnten. Ein CertiK-Sprecher erklärte: „Wir glauben, dass es sich um einen kleineren Ausnutzer handeln könnte. Es gibt wahrscheinlich ein paar Nachahmer nach dem ursprünglichen Exploit.“

TRM Labs bestätigte, dass die Mehrheit der gestohlenen Gelder noch auf eine kleine Anzahl von Angreifer-kontrollierten Wallets konzentriert ist. Die strukturellen Unterschiede zwischen den einzelnen Angriffswellen deuten darauf hin, dass mindestens 15 separate Angreifer den Schwachpunkt ausgenutzt haben. Die Zunahme unabhängiger Ausnutzer aufgrund eines einzigen Fehlers veranschaulicht, wie eine latente kryptografische Schwachstelle zu einer kaskadierenden Bedrohung werden kann, sobald sie öffentlich entdeckbar ist.

Haseeb Qureshi, Managing Partner bei Dragonfly, bemerkte, dass einige KI-Modelle den zugrunde liegenden Schwachpunkt Berichten zufolge in weniger als 20 Minuten wiederentdeckt hatten. Er schätzte, dass KI-basierte Härtung im Wert von etwa zwei Dollar den Exploit vollständig hätte verhindern können.

Sicherheitsexperten warnen, dass ein reines Firmware-Update für betroffene Nutzer nicht ausreicht. Allen, die ein Wallet auf einem kompromittierten Gerät erstellt haben, wird geraten, ein vollständig neues Wallet auf einem sicheren Gerät zu erstellen und alle Gelder sofort zu übertragen.

Der Coldcard-Exploit rangiert derzeit als der drittgrößte Kryptowährungs-Hack des Jahres 2026.