Binance-Gründer Changpeng „CZ" Zhao ruft Kryptowährungsbesitzer dazu auf, Hardware-Wallets nicht blindlings zu vertrauen, nachdem ein Exploit zig Millionen Dollar an Bitcoin von Coldcard-Geräten abgezogen hat.

Coldcard, hergestellt von Coinkite, ist eine weit verbreitete, air-gapped Bitcoin-Hardware-Wallet, die bei sicherheitsbewussten Befürwortern von Self-Custody aufgrund ihrer physischen Isolierung von internetverbundenen Geräten beliebt ist – ein Design, das den Exploit für Nutzer, die annahmen, ihre Schlüssel seien in einer manipulationssicheren Umgebung generiert worden, besonders bemerkenswert macht.

In einem Beitrag am Samstag auf X warnte Zhao, dass selbst Hardware-Wallets Fehler aufweisen können und dass ältere Wallets mit langer Nutzungshistorie nicht immun dagegen seien. „Nichts ist 100% sicher", schrieb er.

Er empfahl den Besitzern, in Betracht zu ziehen, ihre Gelder auf mehrere Wallets zu verteilen, um das Risiko zu verringern, räumte jedoch ein, dass dieser Ansatz eigene Kompromisse mit sich bringt und dass keine Lösung vollständig narrensicher ist. Zhao schloss mit seinem bekannten Leitmotiv: „Stay SAFU!"

Seine Kommentare folgten auf die Entdeckung einer kritischen Schwachstelle in Coldcard-Hardware-Wallets. Wie Decrypt berichtete, verursachte ein Build-Fehler, dass Seeds auf betroffenen Geräten aus einem Software-Fallback statt aus dem Hardware-Zufallszahlengenerator der Geräte gezogen wurden, was private Schlüssel deutlich leichter erraten machte als beabsichtigt. Der Zufallszahlengenerator ist grundlegend für die kryptografische Sicherheit – wenn die Quelle der Zufälligkeit vorhersagbar ist, können die resultierenden privaten Schlüssel von jedem rekonstruiert werden, der das Muster kennt.

Das Problem geht auf Firmware zurück, die im März 2021 ausgeliefert wurde. Ein Firmware-Update behebt keinen Seed, der bereits auf einem kompromittierten Gerät erstellt wurde.

We mapped the flow of funds for the Coldcard vulnerability based on the pattern identified by engineers at Block and shared by @clay_garrett

1,196 addresses drained in full for 1,082.65 BTC (~$70.2M) between 01:10:20 and 01:51:26 UTC on Jul 30 — a 41-minute window, blocks… pic.twitter.com/q785paZvMQ

— Galaxy Research (@glxyresearch) July 31, 2026

Das Ausmaß des Diebstahls hat seit den ersten Schätzungen erheblich zugenommen. Frühe Berichte bezifferten die Verluste auf etwa 594 BTC, rund 38 Millionen Dollar, die von etwa 500 Wallets abgezogen wurden.

Laut einem Bericht von Galaxy Research, der die Geldflüsse auf Grundlage eines von Ingenieuren bei Jack Dorsey's Block identifizierten Schwachstellenmusters kartierte und von @clay_garrett geteilt wurde, beläuft sich der Schaden nun auf 1.196 vollständig geleerte Adressen mit etwa 1.082,65 BTC beziehungsweise rund 70,2 Millionen Dollar, innerhalb eines 41-minütigen Zeitfensters am 30. Juli. Diese Zahl ist fast doppelt so hoch wie die ursprüngliche Schätzung.

Galaxy stellte fest, dass jede Transaktion eine identische, fest codierte Gebühr zahlte und keinen Wechselgeldausgang hinterließ – ein Muster, das das Unternehmen als vereinbar mit einem automatisierten Tool beschrieb, das bereits vorhandene Schlüssel verwendete, anstatt dass rechtmäßige Besitzer ihre eigenen Gelder bewegten. Die Opfer umfassten sowohl native SegWit- als auch ältere Adresstypen, was auf Multi-Path-Key-Scanning hindeutet.

Die gestohlene Bitcoin wurde innerhalb von Minuten in einer Handvoll Adressen konsolidiert und hat sich laut Galaxy seitdem nicht bewegt.

Coinkite hat Notfall-Hotfixes ausgeliefert und betroffene Nutzer dringend aufgerufen, zu neu generierten Seeds zu migrieren. Der Vorfall unterstreicht eine übergreifende Herausforderung für die Hardware-Wallet-Branche: Selbst Geräte, die mit dem Verweis auf ihre physische Sicherheit vermarktet werden, sind von der Integrität ihrer Firmware abhängig, und ein einziger Build-Fehler kann Jahre des Vertrauens zunichtemachen.