Die Hardware-Wallet-Hersteller Trezor und Foundation haben Warnungen vor einer Zunahme von Phishing-Versuchen ausgegeben, die die Coldcard-Firmware-Schwachstelle ausnutzen, während Betrüger die Wiederherstellungsphrasen der Nutzer verfolgen und bösartige Downloads verbreiten. Die Kampagnen verdeutlichen ein breiteres Risiko für Self-Custody-Nutzer: Da Hardware-Wallets so konzipiert sind, dass Einzelpersonen ihre eigenen privaten Schlüssel verwalten, kann jeder, der die 12- oder 24-gliedrige Wiederherstellungsphrase eines Wallets in die Hände bekommt, die Gelder ohne das physische Gerät verschieben.

Trezor meldete, dass bereits eine Zunahme von Phishing-Versuchen nach der Offenlegung des Coldcard-Exploits zu beobachten sei, und riet Nutzern, Wallet-Backups ausschließlich auf dem Gerät selbst einzugeben, während das Unternehmen bekräftigte, dass seine eigene Hardware von der Schwachstelle nicht betroffen sei. Foundation erklärte, dass das Unternehmen von E-Mails erfahren habe, die sich als das Unternehmen ausgeben und Empfänger auf gefälschte Websites und bösartige Downloads leiten, und betonte, dass es niemals nach einer Wiederherstellungsphrase fragen oder Nutzer anweisen werde, Software zu installieren, um ein Wallet zu sichern.

Das Sicherheitsunternehmen Proofpoint dokumentierte am Montag eine Phishing-Kampagne gegen Coldcard-Nutzer. E-Mails von einer gefälschten Coldcard-Adresse laden Empfänger ein, ein „koordiniertes Hardware-Audit“ durchzuführen – ein Thema, das direkt aus dem Sicherheitsvorfall übernommen wurde – und leiten sie auf eine geklonte Coldcard-Website mit einer Schaltfläche „Hardware-Audit starten“.

A COLDCARD hardware wallet vulnerability is being exploited by threat actors. The reported firmware flaw has led to tens of millions worth of Bitcoin stolen. We've observed social engineering w/ "hardware audit" themes impersonating #COLDCARD in email-based phishing campaigns. pic.twitter.com/1KSfZW3H2N

— Threat Insight (@threatinsight), August 3, 2026

Ein Klick auf die Schaltfläche lädt eine auf GitHub gehostete Batch-Datei herunter, die ScreenConnect installiert, ein legitimes Fernzugriffstool. Proofpoint erklärte, dies verschaffe Angreifern einen Zugangsweg zu Daten- und Finanzdiebstahl sowie die Möglichkeit, Folge-Malware wie Ransomware bereitzustellen.

Die gefälschte Website betreibt zudem ein Kundenservice-Chatfenster, das Proofpoint zufolge von einer echten Person und nicht von einem automatisierten Bot bedient wird. Der menschliche Mitarbeiter führt die Opfer Schritt für Schritt durch den Installationsprozess. Proofpoint bewertete die Kampagne als wirksamen Social-Engineering-Köder, da sie „die Angst und Besorgnis“ ausnutzt, die Inhaber nun hinsichtlich ihrer Kryptowährungssicherheit empfinden.

Der Exploit hinter dem Köder

Der Coldcard-Exploit stammt aus einem Firmware-Build vom März 2021, der Wallet-Seeds mithilfe eines Software-Fallbacks anstelle des hardwarebasierten Zufallszahlengenerators des Geräts generierte, wodurch private Schlüssel vorhersagbar und letztlich ratbar wurden. Coldcard, hergestellt von Coinkite, ist eine ausschließlich für Bitcoin bestimmte Hardware-Wallet, die bei Befürwortern von Self-Custody aufgrund ihres Air-Gapped-Designs und ihrer Open-Source-Firmware beliebt ist.

Galaxy Research hat seit dem 30. Juli drei Diebstahlwellen bestätigt und schätzt die Verluste mit hoher Konfidenz auf 1.596 BTC, was 100 Mio. $ übersteigt. Einschließlich einer vierten Welle, die das Unternehmen vermutet, aber noch nicht mit Opfern verifiziert hat, könnte die Summe 130 Mio. $ erreichen.

Galaxy Researchs Head of Research Alex Thorn erklärte am Dienstag, dass nun mindestens 15 verschiedene Angreifer die Schwachstelle ausnutzen, und stellte fest, dass jede Welle nach der ersten durch Opferberichte identifiziert wurde. Der Coldcard-Hersteller Coinkite hat eine gepatchte Firmware veröffentlicht und betroffenen Nutzern geraten, ihre Gelder unverzüglich auf neu generierte Seeds zu übertragen.

Ein bekanntes Muster

Phishing-Kampagnen haben in den letzten Monaten eine Vielzahl von Methoden eingesetzt, um Hardware-Wallet-Besitzer ins Visier zu nehmen. Im Februar wurden Trezor- und Ledger-Nutzer Ziel einer Postkampagne, die beide Unternehmen imitierte – komplett mit Hologrammen und gefälschten Unterschriften von Führungskräften –, die um eine erfundene Frist herum aufgebaut war. Eine gefälschte Ledger-Anwendung entzog im April Inhabern Millionen, und eine Kampagne im März nutzte gefälschte GitHub-Issues, um Entwickler auf eine vorgetäuschte Website zu locken. Das Muster veranschaulicht, wie Angreifer systematisch die Angst nach Sicherheitsmeldungen ausnutzen und ihre Köder auf Momente abstimmen, in denen Nutzer am ehesten dringlich handeln.

Galaxy Research erklärte, der Coldcard-Exploit dauere an, und forderte Inhaber auf, Gelder auf einen neuen Seed oder einen Verwahrer zu übertragen – was dem Phishing-Köder eine potenziell lange Lebensdauer verleiht, solange die Schwachstelle weiterhin ausgenutzt wird.