Angreifer haben rund 1.367 Bitcoin aus Coldcard-Hardware-Wallets abgezogen, mit einem geschätzten Wert von etwa 85 Millionen US-Dollar. Die Ursache ist eine Schwachstelle in der Art und Weise, wie Coldcard-Geräte kryptografische Schlüssel generieren – ein schwerer Schlag für das Konzept der Selbstverwahrung.

Hardware-Wallets sind physische Geräte, die die privaten Schlüssel für ein Krypto-Depot erstellen und vollständig offline speichern. Der Schlüssel verlässt das Gerät niemals, auch nicht bei der Autorisierung einer Transaktion. Dieser Ansatz funktioniert unabhängig von Banken oder Börsen und gilt allgemein als die sicherste verfügbare Aufbewahrungsmethode. Coldcard, hergestellt vom kanadischen Unternehmen Coinkite, ist eines der bekanntesten, ausschließlich für Bitcoin entwickelten Hardware-Wallets und wurde in Selbstverwahrungs- und Privacy-orientierten Gemeinschaften weitgehend empfohlen. Über fünf Jahre lang machte eine Firmware-Schwachstelle jedoch die von diesen Geräten generierten Schlüssel vorhersagbar.

Wie die Coldcard-Schwachstelle private Schlüssel berechenbar machte

Der Zugriff auf ein Bitcoin-Wallet beruht auf einer einzigen Zufallszahl. Aus dieser Zahl leitet das Gerät den Seed ab – eine Reihe von 12 oder 24 Wiederherstellungswörtern gemäß dem BIP-39-Standard, der branchenweiten Spezifikation, die von praktisch jedem Hardware-Wallet-Hersteller verwendet wird. Diese Wörter können in einem Notfall das gesamte Depot wiederherstellen. Wenn diese anfängliche Zahl jedoch nicht wirklich zufällig ist, kann ein Außenstehender sie neu berechnen.

Bei Coldcard-Geräten sollte der Hardware-Zufallszahlengenerator innerhalb des eingebauten STM32-Mikrocontrollers – einer weit verbreiteten Chip-Familie von STMicroelectronics, die in zahlreichen Embedded-Systemen zum Einsatz kommt – diese kritische Aufgabe übernehmen. Eine Build-Einstellung hatte den Generator jedoch deaktiviert. Darüber hinaus prüfte eine Routine in der libngu-Bibliothek nur, ob die Einstellung vorhanden war – nicht, ob sie tatsächlich aktiv war. Infolgedessen griff die Firmware auf einen alternativen Entropie-Pfad zurück. Dieser Fallback bezog seine Entropie aus der Seriennummer des Mikrocontrollers, einem Systemzähler und den Registern der Echtzeituhr. Keiner dieser Werte ist geheim; ein Angreifer kann einen Teil der Seriennummer über USB auslesen. Beim Mk3-Modell umfasst der Systemzähler nur etwa 80.000 mögliche Werte – deutlich weniger als selbst eine vierstellige PIN und weit unter dem, was als kryptografisch sicher gilt. Wer die Formel kennt, kann die Schlüssel rekonstruieren.

Betroffen sind Wallets, deren Seed auf anfälliger Firmware nach dem 1. März 2021 generiert wurde. Dies betrifft in erster Linie Single-Signature-Wallets, aber auch Multisig-Konfigurationen sind angreifbar, wenn jedes beteiligte Gerät betroffen ist. Dieselbe fehlerhafte Entropie-Quelle speiste außerdem Paper-Wallet-Schlüssel, XOR-Seed-Masken, die Verschlüsselung von Geräteklonen, Web2FA-Geheimnisse und gespeicherte Passwörter. Jeder Nutzer eines betroffenen Geräts muss jedes darauf erstellte Geheimnis als kompromittiert betrachten.

Bisher 1.367 Bitcoin abgeflossen

Die erste Welle von Abflüssen erfolgte in der Nacht zum 30. Juli. Innerhalb von etwa 41 Minuten verließen zwischen 594 und 1.083 BTC zwischen 500 und 1.200 Adressen, je nach Zählweise. Weitere Wellen folgten an den darauffolgenden Tagen. Für die dritte Welle meldete Galaxy Research 207,73 BTC. Insgesamt beläuft sich der bestätigte Schaden auf etwa 1.367 BTC aus 4.585 betroffenen Adressen.

Der Prozess ist noch nicht abgeschlossen. Am 3. August meldete Galaxy Research eine vermutete vierte Welle, zunächst mit 388,93 BTC aus 462 Adressen. Korrigierte Zahlen legten sie anschließend auf 448,73 BTC aus 709 Adressen fest. Bei der ersten vorläufigen Zählung konzentrierten sich die Bewegungen auf die Blöcke 960.778 bis 960.792, was etwa zweieinhalb Stunden umspannte. Die Rate lag bei etwa 13,8 Sweep-Transaktionen pro Block – rund das 45-Fache des Vorfalls-Baselines. Sollte sich diese Welle bestätigen, würden die Gesamtverluste auf etwa 1.816 BTC bzw. rund 113 Millionen US-Dollar steigen.

Das Verhalten nach den Abflüssen ist ebenfalls bemerkenswert. Auf keiner der identifizierten Empfangsadressen hat sich bisher etwas bewegt, was für einen Diebstahl dieser Größenordnung ungewöhnlich ist. Analysten haben rund 600 verdächtige Adressen an Strafverfolgungsbehörden, Compliance-Firmen und Cybersicherheitsermittler gemeldet.

Coinkite liefert korrigierte Firmware und stoppt Auslieferungen

Der Hersteller Coinkite räumte die Schwachstelle Ende Juli ein und aktualisierte seinen Sicherheits-Hinweis Anfang August erneut. Das Unternehmen hat jedoch keinen direkten Zusammenhang zwischen der Schwachstelle und den beobachteten Abflüssen bestätigt.

Der Hinweis betrifft die Modelle Mk2 und Mk3 mit den Firmware-Versionen 4.0.1 bis 4.1.9. Mk4- und Mk5-Geräte mit Versionen vor Standard 5.6.0 oder Edge 6.6.0X sind ebenfalls betroffen, ebenso wie das Q-Modell vor Standard 1.5.0Q oder Edge 6.6.0QX. Für jedes betroffene Modell ist nun korrigierte Firmware verfügbar: Mk2 und Mk3 erhalten Version 4.2.0, Mk4 und Mk5 erhalten Standard 5.6.0 und das Q erhält 1.5.0Q.

Ein Firmware-Update allein reicht jedoch nicht aus, da der alte Seed weiterhin berechenbar bleibt. Coinkite rät betroffenen Nutzern, die Firmware zu aktualisieren und einen vollständig neuen Seed zu generieren. Nach einer kleinen Testtransaktion sollten Nutzer ihr gesamtes Guthaben auf die neu generierten Adressen übertragen und das neue Backup vor der Übertragung verifizieren. Eine Gruppe ist von der Migration ausgenommen: Nutzer, die ihren Seed bei der Einrichtung manuell mit mindestens 50 unabhängigen Würfelwürfen generiert haben, sofern sie diese Würfe nirgendwo notiert haben. Eine starke BIP-39-Passphrase ersetzt nicht die Migration; laut dem Hinweis fungiert sie lediglich als zusätzliche Barriere.

Das Unternehmen hat außerdem die Auslieferung neuer Geräte gestoppt und den verbleibenden Bestand mit betroffener Firmware vernichtet.

„Betroffene Kunden, die ihre Geräte bereits erhalten hatten, wurden direkt mit einer Empfehlung und Migrations-Schritten kontaktiert. Unser gesamter Fokus liegt nun darauf, betroffenen Nutzern bei einer sicheren Migration zu helfen."

— Coinkite, Unternehmensmitteilung

Schlüsselkompromittierungen verursachen die meisten Hackschäden

Im branchenweiten Vergleich ist der Coldcard-Vorfall keine Anomalie. Im ersten Halbjahr 2026 entwendeten Angreifer weltweit etwa 972 Millionen US-Dollar, so TRM Labs. Das entspricht einem Rückgang von mehr als 50 Prozent gegenüber den 2,3 Milliarden US-Dollar, die im Vorjahreszeitraum verloren gingen. Gleichzeitig stieg die Zahl der Vorfälle auf einen Rekordwert von 207, nach 83 im ersten Halbjahr 2025. Während die Gesamtbeute schrumpft, steigt die Angriffshäufigkeit.

Die Verluste konzentrieren sich stark auf eine Kategorie. Infrastruktur- und Schlüsselkompromittierungen machen etwa 15 Prozent der Vorfälle aus, so TRM Labs, verursachen jedoch rund 76 Prozent des gesamten finanziellen Schadens. Der Coldcard-Vorfall passt genau in dieses Muster, insbesondere da die Schwachstelle den Prozess der Schlüsselgenerierung selbst betraf. Firmware-Ebene-Schwachstellen in Hardware-Wallets, die eine Massenrekonstruktion privater Schlüssel direkt ermöglichen, sind selten; die meisten Hardware-Wallet-Verluste entstehen durch Supply-Chain-Angriffe, Phishing oder Benutzerfehler. Hier pflanzte sich ein einzelner Fehler in der Phase der Schlüsselgenerierung über Jahre und Tausende von Geräten fort.

Staatsnahe Akteure bilden den größten einzelnen Block von Angreifern. Mit Nordkorea verbundene Gruppen wie Lazarus und TraderTraitor verantworten etwa 643 Millionen US-Dollar, so TRM Labs – rund 66 Prozent aller Halbjahresverluste. Die April-Angriffe auf Drift und KelpDAO machten den Großteil davon aus.

Letztendlich führt der Coldcard-Vorfall keine neue Risikokategorie ein. Vielmehr unterstreicht er, wo das bestehende Risiko liegt: Der Punkt, an dem das Schlüsselmaterial entsteht, entscheidet über die Sicherheit eines Depots. Ob diese Schlüssel anschließend bei einem Verwahrer oder auf einem Gerät zu Hause liegen, ist demnach zweitrangig.