Der Diebstahl von Bitcoin aus kompromittierten Coldcard-Hardware-Wallets bleibt eine aktive und eskalierende Bedrohung. Galaxy Research verfolgt derzeit etwa 88,6 Millionen Dollar an gestohlenen Geldern über 4.585 Adressen in drei separaten Wellen.

Am Samstag gab Galaxy Research bekannt, eine dritte Diebstahlswelle identifiziert zu haben, bei der 207,73 BTC abgeflossen waren. Damit beläuft sich die beobachtete Gesamtsumme auf rund 1.367 BTC – etwa 88,6 Millionen Dollar – verteilt auf 4.585 Adressen. Das Unternehmen bezeichnete den Exploit als andauernd und forderte alle, die Single-Signature-Gelder auf einem Coldcard-Gerät halten, auf, diese unverzüglich zu verlagern.

Galaxy erklärte, rund 600 verdächtige Angreifer-Adressen an Bundesermittler, Compliance-Unternehmen und branchenübergreifende Cyber-Ermittler gemeldet zu haben. Das Unternehmen dankte den Opfern, die ihre Transaktionsdetails teilten, für ihre Hilfe bei der Kartierung der On-Chain-Muster, die zum Aufspüren der gestohlenen Gelder verwendet wurden.

"Ich untersuche weiterhin und füge unserer Ermittlungsdatenbank neue Coldcard-Opfer- und Angreifer-Adressen hinzu", sagte Alex Thorn, Forschungsleiter bei Galaxy, in einem Beitrag auf X. "Der Angriff dauert an – verlagern Sie Ihre Gelder sofort von Coldcard-generierten Adressen, falls Sie dies noch nicht getan haben."

i continue to investigate and add new Coldcard victim and attacker addresses to our investigation database tonight

THE ATTACK IS ONGOING -- move your funds off Coldcard-generated addresses immediately if you have not done so. i will provide additional updates on estimated…

— Alex Thorn (@intangiblecoins) August 2, 2026

Die Schwachstelle, wie Decrypt zuvor berichtete, geht auf einen Firmware-Build-Fehler vom März 2021 auf Geräten des Herstellers Coinkite zurück. Der Fehler führte dazu, dass Seed-Phrasen mit viel zu wenig Zufälligkeit erzeugt wurden, wodurch private Schlüssel erratbar wurden. Da ordnungsgemäße Entropie bei der Seed-Generierung die Grundlage der gesamten Kryptowährungs-Sicherheit bildet, untergrub die kompromittierte Zufälligkeit die wesentliche kryptografische Garantie, die Hardware-Wallets bieten sollen – selbst bei Geräten, die vom Netz isoliert und nie mit dem Internet verbunden waren.

Thorn schrieb, dass die Wallet-Sweeps zielgerichtet und programmatisch erscheinen und höchstwahrscheinlich mit Hilfe eines großen Sprachmodells orchestriert werden. Er warnte, dass jede Single-Signature-Coldcard-Adresse, die nach dem Firmware-Update von 2021 erstellt wurde, letztendlich geleert wird, und bezeichnete dies als lediglich eine Frage der Zeit.

Thorn wies zudem darauf hin, dass die gestohlenen Coins durchschnittlich 3,18 Jahre unangetastet geblieben waren, bevor sie entwendet wurden, was unterstreicht, dass es sich bei den Opfern überwiegend um Langzeithalter handelte. Die mehrjährige Zeitspanne zwischen der Einführung der Firmware und der aktuellen Ausnutzung hilft zu erklären, warum Adressen über ein so großes Zeitfenster hinweg akkumulieren konnten, bevor sie systematisch ins Visier genommen wurden. Die Gelder aus den drei dokumentierten Wellen verbleiben auf Angreifer-Adressen und wurden bisher nicht bewegt.

Die Folgen haben eine weitreichende und alarmierte Reaktion der betroffenen Nutzer ausgelöst, wobei Sicherheitsexperten zur Vorsicht bei der Verlagerung von Geldern auf neue Adressen mahnen. Viele Nutzer eilen dabei, Bitcoin aus der Self-Custody auf zentralisierte Krypto-Börsen wie Coinbase oder Binance oder auf neu generierte Adressen zu verlagern – eine Umkehrung des branchenbekannten Grundsatzes "not your keys, not your coins".

Für einige Nutzer kamen die Warnungen zu spät. Der kanadische Trainer Jonathan Goodman sagte in einem Beitrag auf X, dass 18,25 BTC – im Wert von etwa 1,6 Millionen kanadischen Dollar – am 29. Juli innerhalb von sieben Minuten aus seinen Wallets abgeflossen seien, obwohl seine Schlüssel in einem Bankschließfach gelagert waren, das nie mit dem Internet verbunden worden war.

$1.6 million dollars in Bitcoin was drained from my account on July 29th in the Cold Card wallet hack.

My Bitcoin was in cold storage. My keys were on a ColdCard device kept in a safety deposit box that had never been connected to the internet.

This part's nerdy, but here's…

— Jonathan Goodman 🇨🇦 (@itscoachgoodman) August 1, 2026

"Vielleicht ist das Schwerste daran, dass ich alles richtig gemacht habe", schrieb Goodman. Er fügte hinzu, dass er Anzeigen bei der Polizei und der Ontario Securities Commission einreicht.