Coldcard-Hack kostet 115 Millionen Dollar

Der bislang schwerwiegendste Sicherheitsvorfall bei einer Hardware-Wallet hat die Kryptobranche erschüttert.

Ein bestätigter Firmware-Fehler in Coldcard-Mk3-Geräten des kanadischen Herstellers Coinkite führte laut Galaxy Research zu verifizierten Bitcoin-Verlusten von über 115 Millionen Dollar. Die Angriffe laufen seit dem 31. Juli 2026.

Schwacher Zufallsgenerator als Einfallstor

Das Problem liegt in der Seed-Generierung – dem Prozess, bei dem eine Hardware-Wallet die geheime Schlüsselphrase für den Zugang zu den gespeicherten Bitcoin erzeugt. Ab Firmware-Version 4.0.1, die im März 2021 ausgerollt wurde, fiel die Coldcard Mk3 bei der Erstellung neuer Wallets auf einen softwarebasierten Pseudozufallszahlengenerator zurück, anstatt den eingebauten Hardware-Zufallsgenerator zu verwenden.

Was ist ein Pseudozufallszahlengenerator (PRNG)?

Ein PRNG erzeugt Zahlenfolgen, die zufällig wirken, aber mathematisch berechenbar sind. Im Gegensatz dazu liefert ein Hardware-Zufallsgenerator echten Zufall aus physikalischen Prozessen und gilt als deutlich sicherer.

Die Folge: Die erzeugten Seed-Phrasen waren nicht ausreichend zufällig. Angreifer konnten sie rekonstruieren und sich Zugang zu den betroffenen Wallets verschaffen. Coinkite hat den Fehler inzwischen bestätigt. Galaxy Research dokumentiert mindestens 15 separate Angriffsvorgänge und warnt, dass zunehmend auch neuere Geräte ins Visier geraten.

Für Nutzer ist der Vorfall brisant, weil Hardware-Wallets als sicherste Aufbewahrungsmethode für Bitcoin gelten. Die Coldcard galt in der Community lange als Referenzprodukt für Selbstverwahrung. Coinkite und andere Akteure fordern Betroffene auf, ihre Bestände unverzüglich auf andere Wallets zu übertragen.

Bitcoin-Markt reagiert verhalten, Strukturfragen rücken in den Fokus

Der Bitcoin-Kurs zeigte sich vom Vorfall bislang wenig beeindruckt. BTC notierte am Dienstagmorgen bei rund 64.300 Dollar. Die Verluste betreffen einzelne Halter, nicht den Gesamtmarkt.

Doch der Coldcard-Hack trifft den Sektor an einem empfindlichen Punkt. In einer Woche, in der US-Spot-Bitcoin-ETFs laut Farside Investors Nettoabflüsse von rund 390 Millionen Dollar verzeichneten und Strategy erstmals seit Monaten keine Bitcoin kaufte, lenkt der Vorfall die Aufmerksamkeit auf Infrastrukturrisiken jenseits von Kurs und Regulierung. Galaxy Research betont, dass die Schadenssumme weiter steigt.

Warum das jetzt zählt

Der Fall dürfte die Debatte über Sicherheitsstandards bei Hardware-Wallets und die Verantwortung von Herstellern für Firmware-Updates grundlegend verändern. Hardware-Wallets sind das Fundament der Selbstverwahrung – wenn dieses Vertrauen beschädigt wird, betrifft das die gesamte Branche.

Einordnung / Ausblick

Bullisches Szenario:

Der Vorfall beschleunigt die Einführung strengerer Sicherheitsstandards und unabhängiger Firmware-Audits. Das könnte das Vertrauen in Hardware-Wallets mittelfristig sogar stärken und die institutionelle Adoption stützen – JPMorgan akzeptiert seit März Bitcoin als Kreditsicherheit, Strive Asset Management hat seine Bitcoin-Reserve auf 1,27 Milliarden Dollar ausgebaut.

Bärisches Szenario:

Der Vertrauensschaden bremst die wachsende institutionelle Adoption. Wenn selbst als sicher geltende Basisprodukte Millionenschäden verursachen, könnten regulatorische Verschärfungen und Zurückhaltung bei Neueinsteigern die Folge sein. Die Sicherheit der Selbstverwahrung ist nur so gut wie die Software, die sie ermöglicht.

Hinweis: Keine Anlageberatung. Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine Aufforderung zum Kauf oder Verkauf von Finanzprodukten dar.