Ein massiver Coldcard-Hardware-Wallet-Exploit, der am 30. Juli begann, führte zu gestohlenen Bitcoin im Wert von rund 130 Millionen US-Dollar und löste zugleich eine der größten Self-Custody-Migrationen in der Geschichte des Netzwerks aus: 233.000 BTC – bei heutigen Preisen etwa 15 Milliarden US-Dollar wert – wurden aus Wallets langfristiger Halter in sicherere Konfigurationen verschoben.

Der Angriff richtete sich gegen Coldcard-Hardware-Wallets, physische Geräte des kanadischen Unternehmens Coinkite, die private Schlüssel vollständig offline speichern. Coldcard wird unter Bitcoin-Nutzern mit Self-Custody vor allem wegen seines Air-Gap-Designs verwendet, bei dem Transaktionen auf einem Gerät signiert werden, das niemals direkt mit dem Internet verbunden ist – ein Sicherheitsmodell, das den Kompromiss auf Firmware-Ebene für die darauf vertrauende Community besonders relevant macht. Ein im März 2021 eingeführter Firmware-Fehler leitete die Schlüsselerzeugung über einen schwachen Software-Zufallszahlengenerator statt über den dedizierten Hardware-Chip des Geräts. Dadurch wurden private Schlüssel – die geheimen Codes, die den Besitz von Bitcoin belegen und Transaktionen autorisieren – vorhersagbar; die Sicherheit sank von 128 Bit auf etwa 40 Bit. Bei 40 Bit ist der Schlüsselraum klein genug, dass moderne Verbraucherhardware ihn in praktikablen Zeiträumen per Brute Force angreifen kann – eine Art Schwachstelle, die Kryptosysteme schon früher belastet hat, besonders bekannt durch einen Android-Wallet-Fehler aus dem Jahr 2013, der ebenfalls vorhersehbare Schlüssel erzeugte. Die Schwachstelle wurde als kryptografisches Äquivalent eines Banktresors beschrieben, der sich als mit einer vierstelligen PIN gesichert herausstellt.

Galaxy Research verfolgte die Folgen über drei bestätigte Angriffswellen hinweg, wobei die Verluste bei rund 1.596 BTC über mehr als 5.200 Adressen lagen. Casa-CEO Nick Neuman nannte unter Bezug auf Onchain-Daten des Analysten James Check von Checkonchain eine höhere Zahl von etwa 2.100 gestohlenen BTC. Da der Angreifer Adressen einzeln kompromittieren musste, statt einen einzigen Verwahrungsbestand zu brechen, erfolgte der Abfluss schrittweise – und verschaffte dem breiteren Netzwerk Zeit zu reagieren.

Neuman veröffentlichte die Onchain-Aufschlüsselung in einem Beitrag auf X:

The onchain metrics around the Coldcard incident reinforce how important self custody is to the resilience of Bitcoin as an asset class.

In the couple of days around the hack: - 2.1k BTC was stolen - 22k moved to exchanges - 233k moved out of long term holder wallets in on… pic.twitter.com/iewr5RvG9c

— Nick Neuman (@Nneuman) August 9, 2026

Den von Neuman zitierten Checkonchain-Daten zufolge wurden 22.000 BTC auf Börsen verschoben und 233.000 BTC aus Wallets langfristiger Halter bewegt – definiert als Adressen, die mindestens 155 Tage inaktiv waren und von Analysten als Proxy für ernsthafte Langfristinvestoren beobachtet werden. Diese Zahl entspricht mehr als dem 100-Fachen dessen, was die Angreifer tatsächlich erbeuteten.

Checkonchain veröffentlichte zudem eine eigene Analyse der Verschiebung beim Angebot langfristiger Halter:

The Coldcard incident resulted in Long-Term Holder supply declining by ~233k BTC, a 1.38% fall from its recent all-time high.

With such a meaningful event, an important question is whether the emergency migration of coins has skewed the onchain metrics we use to analyse Bitcoin.… pic.twitter.com/FPVLUkUlqU

— _Checkonchain (@_checkonchain) August 7, 2026

Daten des Analyseunternehmens Glassnode bestätigten das Ausmaß: Das Angebot langfristiger Halter sank von fast 15 Millionen BTC auf etwa 14,7 Millionen BTC – der größte wöchentliche Rückgang seit Dezember 2024. Dies geschah, während Bitcoin rund 50 % unter seinem Allzeithoch von 126.000 US-Dollar notierte, das im Oktober 2025 erreicht wurde.

Casa bestätigte durch tatsächliche Kundengespräche, dass sich die Migration nicht auf Coldcard-Besitzer beschränkte. Ein Teil der 233.000 BTC stammte von Nutzern von Ledger und Trezor – völlig anderen Hardware-Wallet-Marken –, die den Vorfall als Anlass nahmen, auf Multisig-Setups umzusteigen. Multisig-Konfigurationen erfordern mehrere unabhängige Schlüssel, um eine Transaktion zu autorisieren, sodass kein einzelnes kompromittiertes Gerät ein ganzes Wallet leeren kann. Weitere Mittel stammten von Coldcard-Nutzern, die direkt auf neue, sichere Seeds migrierten.

"So somewhere between ~10x-100x the amount of bitcoin stolen was moved to safety as people sounded the alarm," schrieb Neuman.

Neuman argumentierte, der Vorfall habe einen strukturellen Vorteil von Self-Custody gegenüber zentraler Verwahrung gezeigt. Wenn eine zentrale Börse gehackt wird, sind alle Mittel auf einmal betroffen – ein Muster, das bei großen Börsenzusammenbrüchen zu sehen war und in der Bitcoin-Geschichte insgesamt Verluste in Milliardenhöhe verursacht hat. In diesem Fall verschaffte die Notwendigkeit des Angreifers, einzelne Adressen zu knacken, dem übrigen Netzwerk ein Zeitfenster zur Reaktion.

"This is a giant flashing neon sign showcasing the resilience that self-custody adds to the network," schrieb Neuman. "If all that BTC was held at a custodian and the custodian was hacked instead, those numbers would have been flipped."

Coinkite hat alle aufgefordert, die eine Seed-Phrase auf den Firmware-Versionen 4.0.1 bis 4.1.9 erstellt haben – ein Zeitraum von März 2021 bis Juli 2026 – diese Wallets als kompromittiert zu behandeln und sofort auf einen neuen Seed zu migrieren. Das mehr als fünfjährige Zeitfenster bedeutet, dass potenziell alle in diesem Zeitraum erzeugten Schlüssel betroffen sein können, was den Kreis der gefährdeten Wallets deutlich über die in den Angriffswellen vom Juli direkt ausgenutzten Fälle hinaus erweitert.