Die Verluste durch gestohlene Bitcoins infolge des massiven Coldcard-Wallet-Exploits haben begonnen abzuflachen, doch die insgesamt gestohlene Menge an BTC steigt weiter – und das Schlimmste ist womöglich noch nicht vorbei.

Das ist die neueste Einschätzung von Galaxy Research, dem Krypto-Forschungsunternehmen, das den Exploit von Beginn an verfolgt. Das Unternehmen erklärte am Donnerstag, dass der Coldcard-Exploit zur Rekonstruktion von Seeds inzwischen mehr als 1.778 BTC – rund 112 Millionen US-Dollar – abgeschöpft hat und dass die endgültige Zahl wahrscheinlich höher ausfallen wird.

Galaxy erklärte, man habe „sehr großes Vertrauen“ in diese Zahl; sie erfasst bestätigte, Eigentümern zurechenbare Diebstähle seit Beginn des Angriffs am 30. Juli, wie aus dem fortlaufenden Thread auf X hervorgeht.

„Die Angreifer führen diesen Angriff seit mindestens den frühen Morgenstunden des 30. Juli 2026 aus, indem sie systematisch Coldcard-generierte Seeds rekonstruieren und die Gelder on-chain abräumen“, schrieb Galaxy Research.

Keine der von Galaxy bestätigten Wellen und Footprints zeigt Aktivität nach dem 6. August. Das bedeutet nicht, dass die Methode nicht mehr funktioniert – es bedeutet, dass die leichten Ziele aufgebraucht sind.

The bulk of funds have remained largely unmoved since stolen from victims. Of the at least 1,778 BTC that has been stolen, 1,531 BTC remains in attacker-controlled addresses unmoved. ~246 BTC has been moved by attackers after the theft, with 65% flowing into Coinjoin transactions… pic.twitter.com/OHjJkr1x6D

— Galaxy Research (@glxyresearch) August 14, 2026

Was die Blockchain-Daten zeigen

Coldcard, hergestellt vom in Toronto ansässigen Unternehmen Coinkite, ist eine reine Bitcoin-Hardware-Wallet, die bei Self-Custody-Nutzern seit Langem beliebt ist – ein Gerät, das mit der Zusage vermarktet wird, dass private Schlüssel sicher offline erzeugt und aufbewahrt werden. Ein Firmware-Update aus dem Jahr 2021 leitete die Seed-Erzeugung von Coldcard stillschweigend vom hardwareseitigen Zufallszahlenchip auf einen softwarebasierten Ersatz um, wodurch die Schlüsselstärke von 128 Bit auf nur noch 40 Bit sank. Das ist relevant, denn der Seed ist das Master-Geheimnis einer Wallet – jene Wiederherstellungsphrase, von der jeder private Schlüssel und jede Adresse abgeleitet wird –, und 128 Bit Entropie gelten bei Sicherheitsexperten als Untergrenze, die sich nicht per Brute-Force knacken lässt; 40 Bit sind das nicht. Angreifer konnten Seeds anhand der Seriennummer und des Uhrzustands eines Geräts rekonstruieren und die Coins anschließend abräumen, ohne auf Phishing- oder Malware-Techniken zurückzugreifen – und sogar ohne physischen Zugriff auf die eigentlichen Geräte.

Laut Galaxy Researchs Aufschlüsselung belief sich die größte belegte Welle – Welle 1 – auf 1.082,65 BTC, die in den ersten Minuten aus 1.195 Adressen abgezogen wurden. Das entsprach zum damaligen Zeitpunkt rund 70,5 Millionen US-Dollar an gestohlenem Bitcoin.

Footprint E, der größte einzelne, vom Eigentümer bestätigte Cluster, umfasste 209,94 BTC (rund 13,3 Millionen US-Dollar) über 2.148 Adressen hinweg, während Welle 3 208,24 BTC (knapp 13 Millionen US-Dollar) aus 1.912 Adressen abzog.

Über drei belegte Wellen und 41 kleinere Footprints hinweg weist das Unternehmen mehr als 5.200 ausgeräumte Adressen aus. Stand Block 962.304 (Daten vom 13. August) lagen 1.499,27 BTC – fast 93,9 Millionen US-Dollar – unverausgabt in den Händen der Angreifer.

Among the confirmed, high-confidence waves and footprints of attacker activity, none occurred after August 6. Additional victims continue to report to Galaxy Research (we've spoken to 190+ directly), helping us directly attribute losses and confirm additional footprints, but none… pic.twitter.com/8jEdFdJEog

— Galaxy Research (@glxyresearch) August 14, 2026

Von dem kleinen Anteil, den Galaxy bis zu einem endgültigen Endpunkt zurückverfolgen kann – 174,97 BTC –, floss das meiste in CoinJoin-Datenschutzrunden, also Transaktionen, die Coins vieler Beteiligter zusammenführen, um zu verschleiern, wem welche Gelder gehören; kleinere Beträge erreichten KuCoin und Jump Crypto. Für die Zuordnung der Verluste hat Galaxy mit mehr als 190 Opfern direkt gesprochen.

„Das Nachlassen der Angriffswellen beruht wahrscheinlich darauf, dass gefährdete Nutzer migriert sind oder die meisten Gelder bereits abgeschöpft wurden“, schrieb das Unternehmen.

Galaxy wiederholte seinen Rat an Halter: „Sollten sich noch Guthaben in einer Single-Signature-Coldcard-Wallet befinden, wird empfohlen, die Gelder auf neue Adressen zu verschieben.“ Die Warnung richtet sich gezielt an Single-Signature-Setups, denn Multisignature-Wallets benötigen mehrere unabhängige Schlüssel, um eine Auszahlung zu autorisieren; ein kompromittierter Seed allein legt die Gelder also nicht offen.

Der Vorfall hat bereits rund 15 Milliarden US-Dollar an Bitcoin in sicherere Verwahrung verschoben und eine Warnung des Konkurrenzherstellers Ledger nach sich gezogen, wonach sich die Wallet-Sicherheit an KI-gestützte Entdeckungsmethoden anpassen muss. Branchenkollegen unter den Hardwareherstellern haben zudem auf eine Phishing-Welle hingewiesen, die die Panik ausnutzt.

Galaxy führt zudem weiterhin eine mögliche vierte Welle – 638,5 BTC, die noch nicht bestätigt sind –, die die Schadenssumme auf 2.417 BTC erhöhen würde, was zu aktuellen Preisen mehr als 151,3 Millionen US-Dollar entspräche. Ob diese Welle in die bestätigte Bilanz eingeht und ob die 1.531 BTC in den von Angreifern kontrollierten Adressen liegen bleiben, sind die offenen Fragen, die es zu beobachten gilt – und weil das Bitcoin-Ledger öffentlich ist, bleiben selbst unbewegte gestohlene Gelder für jeden sichtbar, der die Adressen verfolgt.