Ein Sicherheitsfehler in Coldcard-Hardware-Wallets hat die Debatte über Bitcoin-Selbstverwahrung versus Engagement über börsengehandelte Fonds (ETFs) neu entfacht, nachdem Coinkite, der Hersteller des Geräts, bestätigt hatte, dass eine Schwäche bei der Erzeugung der Recovery-Phrase Angreifern ermöglichte, Hunderte Bitcoin-Adressen zu leeren.

Die Coldcard-Schwachstelle

Wie erstmals am 31. Juli berichtet, gab Coinkite eine Warnung heraus, nachdem das Unternehmen festgestellt hatte, dass einige Coldcard-Geräte Recovery-Seeds mit unzureichender Zufälligkeit erzeugten. Der Fehler war besonders gravierend, weil die Hardware-Wallet selbst nicht kompromittiert werden musste. Wäre eine Recovery-Phrase mit schwacher Entropie erstellt worden, hätte ein Angreifer eine drastisch verkleinerte Menge möglicher Schlüssel durchprobieren können, bis er die Wallet fand und leerte.

Hardware-Wallets sind auf interne echte Zufallszahlengeneratoren angewiesen, um die Entropie zu erzeugen, auf der jeder private Schlüssel beruht. Ist diese Entropie schwach, bricht das kryptografische Fundament zusammen, unabhängig davon, wie robust die übrige Sicherheitsarchitektur des Geräts sein mag. Ähnliche RNG-Fehler sind im weiteren Kryptowährungs-Ökosystem bereits zuvor aufgetreten, darunter ein Fehler im Jahr 2013 im Secure-Random-Number-Generator von Android, der Bitcoin-Wallets auf betroffenen Geräten angreifbar machte. Damit handelt es sich eher um ein wiederkehrendes Problem als um einen isolierten Vorfall.

Die Warnung von Coinkite bezog sich zunächst auf ältere Mk2- und Mk3-Geräte, wurde später jedoch ausgeweitet. Auch Seeds, die auf Mk4-, Mk5- und Q-Modellen vor den korrigierten Firmware-Versionen erstellt wurden, waren betroffen, obwohl das Unternehmen erklärte, die Schwäche sei auf neuerer Hardware weniger gravierend gewesen.

Ein Firmware-Update verhindert die Erzeugung weiterer schwacher Seeds, kann jedoch bereits erzeugte nicht beheben. Coinkite veröffentlichte für betroffene Nutzer Hinweise zum Stoppen ausstehender Überweisungen.

ETF-Zuflüsse fallen mit dem Vorfall zusammen

SoSoValue-Daten zeigen, dass US-Spot-Bitcoin-ETFs nach der öffentlichen Bekanntgabe des Coldcard-Vorfalls vier Handelssitzungen in Folge Nettozuflüsse verzeichneten. Es gibt jedoch keinen Hinweis darauf, dass diese Zuflüsse mit betroffenen Coldcard-Nutzern zusammenhängen. Die ETF-Nachfrage wird durch den Bitcoin-Preis, institutionelle Allokationsstrategien, makroökonomische Bedingungen und weitere Faktoren beeinflusst, die vollständig unabhängig von der Wallet-Schwachstelle sind.

Die ersten US-Spot-Bitcoin-ETFs wurden im Januar 2024 nach jahrelangen Ablehnungen durch die SEC aufgelegt und schufen damit einen neuen institutionellen Zugang zu Bitcoin, der bei früheren Hardware-Wallet-Vorfällen nicht existierte. Ihre schnelle Verbreitung hat die Frage Selbstverwahrung versus ETF in jüngerer Zeit stärker in den Vordergrund gerückt als in früheren Jahren, als der direkte Besitz von Bitcoin oder der Handel über eine Kryptobörse die wichtigsten Alternativen waren.

Selbstverwahrung versus ETF-Verwahrung

Der Vorfall verdeutlicht einen zentralen Zielkonflikt bei der Bitcoin-Verwahrung. Selbstverwahrung gibt dem Inhaber direkte Kontrolle über seine Vermögenswerte, macht ihn aber auch voll verantwortlich für die Sicherung von Hardware, Software, Wiederherstellungsprozess und kryptografischen Schlüsseln. Wird ein Seed gestohlen, offengelegt oder falsch erzeugt, kann keine Institution die daraus resultierende Transaktion rückgängig machen. Die Bitcoin-Blockchain ist auf Unveränderlichkeit ausgelegt, was bedeutet, dass Transaktionen von vornherein irreversibel sind — ein Merkmal, das bei einem Fehler wie dem von Coldcard zu einem Nachteil wird, wenn unautorisierte Überweisungen folgen.

Ein Spot-Bitcoin-ETF verlagert diese Last. Der Anleger hält ein Wertpapier im Depotkonto statt die privaten Schlüssel direkt zu kontrollieren. Der Fonds und seine institutionellen Verwahrer kümmern sich um die zugrunde liegenden Coins. Die SEC weist darauf hin, dass Spot-Bitcoin-Produkte einige der direkten Risiken verringern können, die mit der persönlichen Nutzung von Kryptobörsen, Wallets und kryptografischen Schlüsseln verbunden sind.

Versicherung und regulatorischer Schutz bei ETFs

ETF-Verwahrung bietet einen anderen Schutz als eine Bankeinlage. Eine FDIC-Versicherung deckt weder Bitcoin noch Aktien oder ETF-Anteile ab. Sie gilt nur für qualifizierte Bankeinlagen wie Giro- und Sparkonten.

Die SIPC bietet einen engeren Schutz auf Broker-Ebene. Wenn ETF-Anteile über einen SIPC-Mitgliedsbroker gehalten werden und dieser Broker mit fehlenden Kundenswertpapieren ausfällt, können berechtigte Barmittel und Wertpapiere bis zu 500.000 US-Dollar pro Kunde geschützt sein, einschließlich bis zu 250.000 US-Dollar für Bargeld. Die SIPC soll fehlende Brokervermögenswerte wiederherstellen; sie entschädigt Anleger nicht für Verluste, die durch einen Bitcoin-Kursrückgang entstehen.

BlackRocks iShares Bitcoin Trust (IBIT) nutzt unter anderem institutionelle Bitcoin-Verwahrer wie Coinbase Custody. BlackRock erklärt, dass der Trust selbst weder FDIC- noch SIPC-versichert ist und dass weder der Trust noch sein Sponsor seine Bitcoin versichert. Dieselben Angaben von BlackRock führen aus, dass Coinbase eine gewerbliche Kriminalitätsversicherung für bestimmte Ereignisse wie Diebstahl, Hacks und betrügerische Überweisungen unterhält, die Police jedoch auf alle Coinbase-Kunden verteilt ist und möglicherweise nicht ausreicht, um jeden möglichen Verlust abzudecken.

US-Spot-Bitcoin-Produkte unterscheiden sich zudem von herkömmlichen registrierten ETFs. Sie sind in der Regel als börsengehandelte Rohstoff-Trusts strukturiert und nicht als Investmentgesellschaften, die nach dem Investment Company Act von 1940 registriert sind. Dadurch erhalten sie nicht alle gesetzlichen Schutzmechanismen, die für gewöhnliche Fonds und registrierte ETFs gelten.

Älterer Bitcoin bewegt sich, aber das Ziel bleibt unbekannt

Auch die Daten der langfristigen Bitcoin-Halter veränderten sich im selben Zeitraum.

Laut Glassnodes Long-Term Holder Supply-Daten haben in der vergangenen Woche rund 210.000 BTC die Gruppe der Langzeithalter verlassen, was auf Basis des angegebenen Zeitraums den stärksten Rückgang seit Dezember 2024 darstellt. Das Angebot der Langzeithalter liegt nun bei rund 14,77 Millionen BTC; der jüngste Wert von Glassnode beträgt 14.7729 Millionen.

Glassnode klassifiziert nicht jede Wallet, die genau 155 Tage inaktiv war, als Langzeithalter. Das Modell arbeitet auf Entitätsebene und nutzt das Coin-Alter rund um eine 155-Tage-Schwelle, um zwischen kürzerem und längerem Anlageverhalten zu unterscheiden.

Ein Rückgang des Angebots der Langzeithalter zeigt, dass älterer Bitcoin liquider wird. Die Kennzahl sagt jedoch nicht, wohin diese Coins gegangen sind. Sie könnten verkauft oder zwischen Wallets, Verwahrstellen oder Anlagevehikeln übertragen worden sein, und die Daten liefern keine Grundlage, diese Bewegungen mit Coldcard oder ETF-Zuflüssen zu verknüpfen.

Der Coldcard-Fehler zeigt, warum die Verwahrung eine der folgenreichsten praktischen Entscheidungen bei Bitcoin bleibt. Selbstverwahrung legt die Sicherheit in die Hände des Inhabers, während ein ETF auf Broker, Fondssponsoren und institutionelle Verwahrer angewiesen ist.

Methodik: Der Artikel stützt sich auf die Coldcard-Warnung von Coinkite, ETF-Flussdaten von SoSoValue, Glassnode-Kennzahlen zu langfristigen Haltern sowie öffentliche Informationen von SEC, FDIC, SIPC und BlackRock.

Hinweis: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz-, Anlage- oder Sicherheitsberatung dar. Bitcoin-Verwahrung und ETF-Produkte sind mit unterschiedlichen Risiken verbunden, und vergangene oder aktuelle Marktdaten garantieren keine zukünftigen Ergebnisse.

Der Beitrag „Coldcard Flaw Revives Bitcoin Wallet vs ETF Debate“ erschien zuerst auf Coindoo.