Bitcoin: 88 Millionen Dollar durch Coldcard-Lücke gestohlen

Eine Schwachstelle in der Firmware älterer Coldcard Mk3 Hardware-Wallets hat Angreifern ermöglicht, insgesamt 1.367 BTC im Wert von rund 88,6 Millionen Dollar abzuziehen. Der Fall stellt grundlegende Sicherheitsannahmen der Branche in Frage.

Vorhersehbare Schlüssel, offene Tresore

Die Ursache ist ein defekter Zufallszahlengenerator in der Coldcard Mk3 Firmware ab Version 4.0.1, die im März 2021 eingeführt wurde. Statt zufälliger, unknackbarer Wallet-Seeds erzeugte das Gerät vorhersehbare Schlüssel.

Was ist ein Wallet-Seed? Ein Wallet-Seed ist eine zufällig generierte Zeichenfolge, aus der alle privaten Schlüssel einer Bitcoin-Wallet abgeleitet werden. Ist der Seed vorhersehbar, können Angreifer die zugehörigen Schlüssel nachberechnen und auf die Bestände zugreifen.

Entscheidend: Die Angreifer brauchten keinen physischen Zugriff auf die Hardware. Laut der On-Chain-Analyse von Galaxy Research sind 4.585 Adressen betroffen – deutlich mehr als die ursprünglich geschätzten 500. Der größte Einzelangriff erfolgte am 30. Juli 2026, als innerhalb von 41 Minuten 1.082 BTC abflossen. Die ersten beiden Angriffswellen zeigen identische Transaktionsmuster, darunter eine einheitliche Gebühr von 30 sat/vB. Das deutet auf einen einzelnen Akteur oder ein gemeinsames Angriffswerkzeug hin. Hersteller Coinkite reagierte mit einer Sicherheitswarnung – allerdings erst rund 30 Stunden nach Beginn der ersten Welle.

Neuere Modelle nicht betroffen, aber Vertrauen erschüttert

Coldcard Mk4, Mk5 und das Q-Modell sind nach aktuellem Kenntnisstand nicht verwundbar. Nutzer älterer Mk3-Geräte mit betroffener Firmware werden aufgefordert, neue Seeds auf sicherer Hardware zu erzeugen und ihre Bestände vollständig zu migrieren. Die gestohlenen Mittel wurden bislang kaum bewegt und liegen in wenigen angreiferkontrollierten Adressen.

Ein Kontrapunkt kommt aus dem Software-Wallet-Bereich: BlueWallet führte mit Version 8.0.0 Anfang Juni eine manuelle Entropie-Funktion ein. Diese erlaubt es Nutzern, Zufallswerte über physische Quellen wie Münzwürfe selbst zu erzeugen.

Was ist Entropie in diesem Kontext? Entropie bezeichnet das Maß an Zufälligkeit, das in die Erzeugung kryptografischer Schlüssel einfließt. Je höher die Entropie, desto schwerer ist der resultierende Schlüssel vorherzusagen.

Damit wird eine Sicherheitsoption, die bislang Hardware-Wallets vorbehalten war, erstmals auf Softwareebene verfügbar – und die Abhängigkeit von potenziell fehlerhaften Zufallsgeneratoren verringert.

Warum das jetzt zählt

Der Coldcard-Vorfall ist mehr als ein isoliertes Produktversagen. Er offenbart ein systemisches Risiko: Die Sicherheit von Bitcoin-Selbstverwahrung hängt an der Qualität einzelner Firmware-Komponenten, die jahrelang unentdeckt fehlerhaft sein können.

Für die Branche ergibt sich ein Paradox. Hardware-Wallets galten als Goldstandard, doch genau dieser Ruf könnte Nutzer in trügerischer Sicherheit gewiegt haben. Gleichzeitig zeigen Initiativen wie die von BlueWallet, dass sich der Markt anpasst und Nutzern mehr Kontrolle über kritische Sicherheitsschritte gibt.

Einordnung / Ausblick

Bull-Perspektive:

Der Vorfall betrifft ausschließlich ein älteres Modell mit einem spezifischen Firmware-Bug. Neuere Coldcard-Generationen sind nicht betroffen. Die schnelle Reaktion des Marktes – etwa durch BlueWallets Entropie-Funktion – zeigt, dass das Ökosystem lernfähig ist. Strengere Audit-Standards könnten das Vertrauen in Selbstverwahrung langfristig sogar stärken.

Bear-Perspektive:

Der Fall zeigt, dass selbst spezialisierte Sicherheitshardware jahrelang unentdeckte Schwachstellen enthalten kann. Die gestohlenen 88,6 Millionen Dollar sind bislang nicht wiederhergestellt. Sollten weitere betroffene Adressen identifiziert werden, könnte der Gesamtschaden steigen. Für Skeptiker der Selbstverwahrung liefert der Vorfall Argumente gegen die Eigenverantwortung bei der Bitcoin-Aufbewahrung.

Hinweis: Dieser Artikel stellt keine Anlageberatung dar. Jede Investition birgt Risiken – eigenständige Recherche wird empfohlen.