Von einem 25-Minuten-Abzug zu einem mehrwelligen Vorfall

Die Übertragung von 594 BTC wurde wegen ihrer Geschwindigkeit und Koordination zur Schlagzeile. Die Berichterstattung über die erste Welle besagte, dass anschließend etwa 562 BTC in einer einzigen Adresse konsolidiert wurden. Das Muster deutete auf Automatisierung hin: Viele alte, einzelne Signaturausgänge wurden in rascher Folge abgezogen, wobei der Angreifer offenbar den gesamten verfügbaren Bestand nahm, statt sich wie ein gewöhnlicher Wallet-Nutzer zu verhalten.

Bei der Verlustschätzung blieb es nicht. Galaxy-Research-Leiter Alex Thorn verfolgte Transaktionen mit ähnlichem Muster weiter. Bis zum 2. August hatte seine beobachtete Schätzung für drei Angriffsserien 1.367,05 BTC über 4.585 Quelladressen erreicht, was bei dem in seinem Update verwendeten damaligen Preisreferenzwert einem Gegenwert von rund 88,6 Millionen US-Dollar entsprach.

Am 3. August meldete Thorn einen weiteren Cluster zwischen den Bitcoin-Blöcken 960.778 und 960.792. Die erste Prüfung fand 218 Transaktionen, die mehr als 380 BTC von 462 vermuteten Opferadressen an 210 neue Zieladressen verschoben. Spätere Berichte auf Grundlage seiner Analyse erweiterten den potenziellen Cluster auf rund 448,7 BTC über 709 Adressen.

Diese vierte Gruppe erfordert eine sorgfältige Formulierung. Einige Transaktionen waren noch ausstehend und mit Replace-by-Fee aktiviert, was bedeutete, dass ein Opfer theoretisch eine bösartige, unbestätigte Transaktion durch ein höheres Gebührenangebot ersetzen konnte. Thorn beschrieb das Muster als wahrscheinlich eine weitere Coldcard-Welle, nicht als endgültig adjudizierte Verlustzahl. Wenn man 448,7 BTC mechanisch zum bisherigen Gesamtwert addiert, ergibt das rund 1.815,75 BTC, aber das ist eine potenzielle Vierwellen-Exposition, kein endgültig feststehender Diebstahlgesamtbetrag.

Die Anzahl der Angriffswellen ist wichtig, aber sie ist nicht der tiefste Teil der Geschichte. Die härtere Frage ist, wie ein Angreifer Wallets kontrollieren konnte, deren Private Keys angeblich offline geblieben waren.

Die Codeänderung von 2021, die die Seed-Erzeugung schwächte

Ein Bitcoin-Wallet-Seed ist nicht bloß eine Wortliste. Er ist eine für Menschen lesbare Darstellung geheimer Entropie, aus der die Wallet Private Keys ableitet. Wenn diese Entropie korrekt erzeugt wird, ist das Erraten des Seeds rechnerisch unrealistisch. Wenn die möglichen Eingaben stark begrenzt sind, können dieselben Wörter völlig gewöhnlich aussehen und dennoch deutlich weniger Sicherheit bieten.

Das Bitcoin-Engineering-and-Security-Team von Block führte das Coldcard-Problem auf eine Änderung zurück, die während einer Migration der Kryptobibliothek im Jahr 2021 eingeführt wurde. Coldcard verlagerte die Seed-Erzeugung von ckcc.rng_bytes(), das auf den Hardware-Zufallszahlengenerator des Boards zugriff, zu gu.random.bytes().

Der falsche Generator hinter der richtigen Schnittstelle

Die Gerätekonfiguration definierte MICROPY_HW_ENABLE_RNG als null, weil Coldcard einen separaten Hardware-RNG-Wrapper bereitstellte. Eine Bibliotheksprüfung kontrollierte, ob das Makro definiert war, statt ob es aktiviert war. Da das Makro existierte, war der Build erfolgreich. Der Funktionsaufruf wurde jedoch auf MicroPythons Yasmarang-Software-Fallback aufgelöst statt auf die beabsichtigte Hardwarequelle.

Dieser Fallback initialisierte sich mit Werten, darunter ein Teil der eindeutigen Kennung des Mikrocontrollers und Timer-Register. Diese Eingaben können variieren, sind aber Gerätemetadaten und Timing-Zustand, keine frische kryptografische Zufallsquelle. Sobald der relevante Zustand und die Anzahl der vorherigen Generatoraufrufe bekannt oder ausreichend eingegrenzt sind, ist der resultierende Stream deterministisch.

Bei den betroffenen Mk2- und Mk3-Firmwareversionen stellte Block fest, dass über diesen Pfad kein kryptografisch erzeugtes Geheimnis hinzugefügt wurde. Coinkites vorläufiges Angriffsmodell schätzte einen effektiven Suchraum von etwa 40 Bit. Block präsentierte eine stärker bedingte Analyse: Die praktische Suche hängt vom Wissen über Gerätekennung, Timer und Aufrufhistorie ab, und es wurde kein vollständiger End-to-End-Bruteforce-Benchmark behauptet.

Spätere Mk4-, Q- und Mk5-Geräte mischten Material des Secure Elements in den Generator ein, wodurch die Schwere reduziert wurde, ohne die beabsichtigte Sicherheitsmarge wiederherzustellen. Block stellte fest, dass für einen festen Fallback-Zustand und eine feste Aufrufhistorie nur vier Bytes eines Digests die Reseed-Funktion erreichten, was unter dieser Bedingung höchstens 2^32 sicher unterscheidbare Ausgabeströme ließ. Coinkite schätzte unter seinen breiteren Angriffsannahmen einen effektiven Suchraum von etwa 72 Bit. Die Zahlen beschreiben unterschiedliche Modelle, aber beide Analysen führen zum gleichen betrieblichen Schluss: Die späteren Geräte waren weniger exponiert als die betroffenen Mk2- und Mk3-Generationen, benötigten aber dennoch eine Behebung.

Warum Hashing die fehlende Entropie nicht wiederherstellen konnte

Coldcard hashte den erzeugten 32-Byte-Wert, bevor er in Wallet-Material umgewandelt wurde. Das kann die Ausgabe statistisch gleichförmig erscheinen lassen, aber ein Hash kann keine Möglichkeiten erzeugen, die in seiner Eingabe nicht vorhanden waren. Wenn ein Generator nur eine begrenzte Familie möglicher Werte erzeugen kann, erzeugt das Hashing dieser Werte nur dieselbe Anzahl möglicher Seeds.

Dasselbe Prinzip gilt für die BIP-39-Prüfsumme. Sie hilft dabei, Übertragungsfehler zu erkennen; sie fügt keine geheime Zufälligkeit hinzu. Eine gültig aussehende 12- oder 24-Wort-Phrase kann daher kryptografisch schwach sein, wenn der Auswahlprozess vorhersehbar war.

Wie eine Offline-Wallet geleert werden konnte

Die öffentliche Blockchain lieferte dem Angreifer etwas Wertvolles: ein Validierungsziel. Bitcoin-Adressen, öffentliche Schlüssel, die durch frühere Ausgaben offengelegt wurden, und erweiterte öffentliche Schlüssel, die mit Wallet-Software geteilt werden, können alle dabei helfen festzustellen, ob ein erratener Private Key oder Seed zu einer Ziel-Wallet gehört.

Ein plausibler Angriff würde Kandidaten für RNG-Zustände erzeugen, den entsprechenden Seed und die Adressen ableiten und diese mit finanzierten Adressen on-chain vergleichen. Wenn ein Kandidat übereinstimmte, hätte der Angreifer dieselbe Signierberechtigung wie der Eigentümer. Die eigentliche Coldcard müsste dabei zu keinem Zeitpunkt mit dem Angreifer kommunizieren.

Das erklärt, wie Cold Storage und Diebstahl gleichzeitig existieren können. Die Wallet blieb offline, aber ihr Geheimnis könnte andernorts reproduzierbar gewesen sein.

Die genaue operative Vorgehensweise bleibt unbekannt. Block sagte, die praktischen Kosten hingen von Informationen wie der Geräte-UID, dem Boot-Timing, vorherigen RNG-Aufrufen und dem Key-Derivation-Aufwand ab. Seine Forscher hatten zum Zeitpunkt der Veröffentlichung der Warnung keine vollständigen empirischen Exploit-Tests abgeschlossen. Kein autoritativer Bericht hat geklärt, wie der Angreifer alle erforderlichen Eingaben erhalten oder eingegrenzt hat, welche Hardware verwendet wurde oder ob mehr als ein Akteur beteiligt war.

Coinkite spekulierte, dass ein Angreifer künstliche Intelligenz verwendet haben könnte, um historische Open-Source-Firmware zu untersuchen. Diese Möglichkeit ist kein Beleg für eine Zuordnung. Der Code war jahrelang öffentlich, und sowohl klassische Prüfung als auch KI-gestützte Prüfung hätten den Fehler aufdecken können. Die vertretbare Schlussfolgerung ist, dass die Schwachstelle aus dem Quellcode erkennbar war, nicht dass KI als Methode des Angreifers bewiesen ist.

Welche Coldcard-Wallets betroffen waren

Block datierte den anfälligen Seed-Generierungspfad auf Firmware 4.0.0 im März 2021. Coinkites Nutzerhinweis definiert den betroffenen Mk2/Mk3-Releasebereich als die Versionen 4.0.1 bis 4.1.9 einschließlich. Für spätere Geräte warnte Coinkite, dass Seeds, die auf Mk4 und Mk5 vor der Standard-Firmware 5.6.0 oder auf Q vor 1.5.0Q erzeugt wurden, ebenfalls betroffen waren. Separate Edge-Release-Zweige erforderten 6.6.0X für Mk4/Mk5 und 6.6.0QX für Q.

Die Exposition folgt der Firmware, die bei der Seed-Erzeugung verwendet wurde, nicht der heute installierten Firmware. Das Aktualisieren eines Geräts ändert das zukünftige Erzeugungsverhalten; es verändert keinen bereits vorhandenen Seed.

Coinkite identifizierte zwei unabhängige Schutzmaßnahmen, die die Exposition einer bestimmten Wallet materiell verändern konnten. Laut dem Unternehmen lieferten mindestens 50 faire, private und unabhängige Würfe, die während der ursprünglichen Seed-Erzeugung hinzugefügt wurden, mindestens 128 Bit unabhängige Entropie. Eine starke, einzigartige BIP-39-Passphrase schafft außerdem eine separate Barriere, die ein Angreifer überwinden muss. Weder eine kurze Passphrase noch die Geräte-PIN sollten als gleichwertiger Schutz betrachtet werden.

Multisignatur-Arrangements müssen ebenso sorgfältig behandelt werden. Ein anfälliger Coldcard-Schlüssel macht eine Wallet nicht automatisch unsicher, die weiterhin Signaturen von genügend unabhängig sicheren Geräten erfordert. Aber ein Quorum, das vollständig aus anfälligen Seeds besteht, kann dasselbe zugrunde liegende Problem bewahren. Der Schutz kommt von einem ausreichenden Schwellenwert unabhängig erzeugter, sicherer Schlüssel, nicht von der Multisig-Bezeichnung allein.

Coinkites Fix und das Migrationsproblem

Coinkite veröffentlichte Hotfixes für die betroffenen Produktlinien und wies Nutzer an, keine Ersatz-Seeds zu erzeugen, bevor die entsprechende korrigierte Firmware installiert war. Die Anleitung des Unternehmens ist beim wichtigsten Punkt unmissverständlich: Firmware-Updates können Seeds, die durch den fehlerhaften Prozess erstellt wurden, nicht reparieren.

Nutzer mit betroffenen Seeds müssen auf korrigierter Firmware einen völlig neuen Seed erstellen, den Fingerabdruck und die Empfangsadresse der neuen Wallet verifizieren, eine kleine Testtransaktion senden und erst danach den restlichen Kontostand migrieren. Das alte Backup sollte bis zur vollständigen Bestätigung der Übertragung verfügbar bleiben. Ein übereiltes Vorgehen kann durch eine falsche Adresse, ein unvollständiges Backup oder einen Passphrase-Fehler einen neuen Verlust verursachen.

TAPSIGNER, OPENDIME und SATSCARD sind nicht betroffen, da sie andere Codebasen verwenden. Diese Einschränkung ist wichtig. Der Vorfall ist ernst, aber er ist kein Beleg dafür, dass jedes Coinkite-Produkt oder jede Hardware-Wallet dieselbe Schwachstelle aufweist.

Was der Coldcard-Fehler für Cold Storage verändert

„Cold“ beschreibt die Beziehung einer Wallet zu Netzwerken. Es bescheinigt nicht, wie ihre Private Keys erstellt wurden, ob ihre Firmware dem beabsichtigten Ausführungspfad gefolgt ist oder ob Backup und Passphrase sicher gehandhabt wurden.

Der Coldcard-Fehler legte eine Lücke zwischen Komponentenprüfung und Systemverhalten offen. Der beabsichtigte Hardware-RNG-Code war im Firmware-Binary vorhanden. Auch der Software-Fallback hatte die erwartete Funktionssignatur. Die frühere Prüfung bestätigte, dass die gute Komponente vorhanden war, verifizierte aber nicht, welche Implementierung die Wallet-Erzeugung tatsächlich über die integrierten Bibliotheken erreichte.

Das ist eine ernüchternde Lehre für Open-Source-Sicherheit. Öffentlicher Code ermöglicht unabhängige Verifikation, aber Veröffentlichung ist nicht dasselbe wie eine fortlaufende End-to-End-Prüfung. Sicherheitskritische Builds brauchen Tests, die bestätigen, dass Entropie den Aufrufer erreicht, bei Nichtverfügbarkeit der beabsichtigten Quelle geschlossen fehlschlagen und das Verhalten kompilierter Artefakte messen, statt anzunehmen, dass die Absicht auf Quellcode-Ebene die Integration überlebt.

Für Nutzer ist die Lehre nicht, Self-Custody aufzugeben. Sie besteht darin zu verstehen, dass Self-Custody Verantwortung über mehrere Ebenen hinweg überträgt: Hardware-Authentizität, Firmware-Provenienz, Seed-Entropie, Passphrase-Stärke, Backup-Isolierung, Multisig-Diversität und die Fähigkeit, bei entdeckten Defekten sicher zu migrieren.

Die ersten 594 BTC verschwanden in Minuten. Die Bedingungen, die diese Transfers ermöglichten, könnten länger als fünf Jahre bestanden haben. Diese Zeitspanne ist die zentrale Warnung: Eine Cold Wallet kann jahrelang still und scheinbar sicher bleiben, während eine Schwäche in ihrem ursprünglichen Seed darauf wartet, entdeckt zu werden.

Bitcoin mit Hebel handeln – ohne die Verwahrung aufzugeben

Dezentrale Perpetual-Börsen haben den Nischenstatus längst hinter sich gelassen. Laut dem 2025 Annual Crypto Industry Report von CoinGecko stieg das Perpetual-Handelsvolumen an DEXs im vergangenen Jahr um 346 % auf 6,7 Billionen US-Dollar, während das Open Interest zentralisierter Börsen im gleichen Zeitraum um 20,8 % sank. Trader setzen ernsthaftes Kapital in On-Chain-Derivate ein, und die Gründe sind einfach: Gegenparteirisiko ist real, Verwahrungsfehler passieren, und Zensurresistenz ist wichtig.

edgeX ist eine dezentrale Perpetual-Futures-Börse für Trader, die Marktzugang wollen, ohne die Kontrolle aufzugeben.

Warum Trader edgeX für BTC-Perpetuals wählen

• Kein KYC, keine Hürden. Verbinde eine Wallet und beginne mit dem Handel ohne Identitätsprüfung oder Kontofreigaben.
• Echte Self-Custody. edgeX kombiniert Off-Chain-Order-Matching mit verifizierbarer On-Chain-Abwicklung, gesichert durch Ethereum. Zwangsauszahlungsmechanismen stellen sicher, dass Gelder direkt aus der Blockchain wiederhergestellt werden können, selbst wenn der Betreiber offline geht.
• Tiefe Liquidität, enge Spreads. edgeX hält Marktstiefe von 10 Millionen US-Dollar innerhalb eines Spreads von einem Basispunkt aufrecht, mit Slippage von unter 0,1 Basispunkten bei Trades über 100.000 US-Dollar.
• Bis zu 100x Hebel. Trader können Positionen an ihr Risikokonzept anpassen, egal ob sie Exposure absichern oder Momentum handeln.
• 100 % Trading-Fee-Belohnungen. Aktive Trader können für ihre Handelsaktivität Belohnungen erhalten und so die Nettokosten hochfrequenter Strategien im Laufe der Zeit senken.
• Infrastruktur auf institutionellem Niveau. edgeX verarbeitet bis zu 200.000 Orders pro Sekunde bei einer Matching-Latenz von unter 10 Millisekunden.

Setzen Sie Ihre Bitcoin-Markteinschätzung um

Handeln Sie BTC/USDC-Perpetual-Futures auf edgeX und behalten Sie die Kontrolle über Ihre Vermögenswerte. Hebel vergrößert sowohl Gewinne als auch Verluste, daher bleiben Positionsgröße, Liquidationsabstand und Finanzierungskosten wesentliche Bestandteile des Risikomanagements.

Häufig gestellte Fragen

Haben Hacker Coldcard-Geräte aus der Ferne kompromittiert?

Keine autoritative Untersuchung hat gezeigt, dass die betroffenen Geräte aus der Ferne zugänglich waren. Der berichtete Mechanismus umfasst das Offline-Rekonstruieren von Kandidaten-Seeds oder Private Keys aus einem geschwächten Zufallszahlprozess und deren Validierung anhand öffentlicher Blockchain-Informationen.

Hat der Vorfall die Bitcoin-Verschlüsselung gebrochen?

Nein. Die Schwachstelle betraf die Seed-Erzeugung von Wallets in der betroffenen Coldcard-Firmware. Es wurde nicht gezeigt, dass das zugrunde liegende Signatursystem von Bitcoin kryptografisch gebrochen wurde.

Schützt die Installation der neuesten Firmware eine bestehende Wallet?

Sie schützt die zukünftige Seed-Erzeugung auf der korrigierten Version, kann aber einen auf betroffener Firmware erstellten Seed nicht reparieren. Coinkite empfiehlt, einen neuen Seed zu erzeugen und die Gelder nach sorgfältiger Verifizierung der Ersatz-Wallet zu übertragen.

Waren alle Coldcard-Modelle gleich anfällig?

Nein. Die betroffene Mk2/Mk3-Firmware verwendete den schwerwiegendsten Pfad. Mk4, Q und Mk5 fügten Secure-Element-Entropie hinzu und wurden als weniger exponiert bewertet, aber Coinkite stufte betroffene Seeds vor der Korrektur weiterhin als ausreichend ernst ein, um eine Migration zu erfordern. Produkt, Firmware-Zweig und Datum der Seed-Erstellung sind alle wichtig.

Sind 1.815,75 BTC der bestätigte gestohlene Betrag?

Nein. Die von Galaxy Research beobachtete Dreiwellen-Schätzung betrug 1.367,05 BTC. Rund 448,7 BTC wurden mit einer wahrscheinlichen vierten Welle in Verbindung gebracht, aber einige Transaktionen waren noch ausstehend oder ersetzbar, während der Cluster analysiert wurde. Die kombinierte Zahl ist eine vorläufige Expositionsschätzung, kein endgültig bestätigter Gesamtverlust.