Ein Coldcard Hack hat gezeigt, dass selbst eine Hardware-Wallet keinen absoluten Schutz bietet, wenn die Firmware einen Fehler enthält. Laut der Analysefirma Galaxy Research erbeuteten Angreifer rund 1.082 Bitcoin im Wert von etwa 70 Millionen US-Dollar – und das binnen 41 Minuten, ohne die Geräte je physisch berührt zu haben. Betroffen sind Nutzer der beliebten Coldcard-Wallets des Herstellers Coinkite.
Wie der Coldcard Hack funktioniert
Die Ursache liegt tief in der Firmware. Ein Integrationsfehler aus dem März 2021 leitete die Erzeugung des Wallet-Seeds auf einen deterministischen Software-Zufallszahlengenerator (PRNG) um – statt auf den echten Hardware-Zufallsgenerator des verbauten STM32-Chips. Ein deterministischer Generator liefert bei gleichen Ausgangsbedingungen immer dieselbe Folge.
Genau das machten sich die Angreifer zunutze. Wer den Geräte-UID, den Timer-Zustand und die bisherige Aufruf-Historie des Generators hinreichend eingrenzen kann, ist in der Lage, die möglichen Seeds offline nachzurechnen. Aus diesen Kandidaten leitet man die Bitcoin-Adressen ab und gleicht sie mit den öffentlichen Blockchain-Daten ab. Der Angriff findet damit vollständig außerhalb des Geräts statt.
Klartext zu KI, Security, Crypto
Einordnung statt Hype: was hinter den Tech-News steckt und was davon für dich zählt. Startbonus: die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.
Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.
Ausmaß des Angriffs
Die Zahlen von Galaxy Research zeichnen ein deutliches Bild:
- Zeitraum: 30. Juli, zwischen 01:10 und 01:51 UTC
- Erste Welle: rund 1.082,65 BTC (etwa 70 Mio. Dollar) aus 1.196 Adressen
- Zweite Welle (1. August): mutmaßlich derselbe Angreifer, insgesamt rund 1.158 BTC (etwa 75,1 Mio. Dollar) aus 2.673 Adressen
Damit reiht sich der Vorfall in eine Serie teurer Krypto-Angriffe des Sommers 2026 ein – zuletzt etwa der Wanchain Bridge-Hack. Anders als bei Börsen-Hacks trifft es hier aber Nutzer, die ihre Coins bewusst selbst verwahrt haben.
Was betroffene Nutzer jetzt tun müssen
Coinkite hat am 31. Juli für alle betroffenen Modelle und Release-Zweige eine Notfall-Firmware veröffentlicht. Wichtig ist der Haken dabei: Das Update schließt zwar die Lücke, repariert aber einen bereits kompromittierten Seed nicht. Wer eine potenziell betroffene Wallet nutzt, sollte daher nicht nur die Firmware aktualisieren, sondern anschließend eine neue Wallet mit frisch erzeugtem Seed anlegen und sämtliche Guthaben dorthin übertragen.
Die Lehre für die Selbstverwahrung
Der Fall macht eine unbequeme Wahrheit sichtbar: Bei einer Hardware-Wallet steht und fällt die Sicherheit mit der Qualität der Zufallszahlen und der Firmware. Ein einziger, jahrelang unbemerkter Fehler kann Tausende Wallets angreifbar machen. Das ist kein Argument gegen Selbstverwahrung – wohl aber eines für Geräte mit nachvollziehbarer Entropie-Quelle, zügigen Updates und offener Prüfbarkeit. Wer sich neu orientiert, findet in unserem Ratgeber zu den besten Krypto-Hardware-Wallets 2026 die wichtigsten Auswahlkriterien.
Quellen
- CoinDesk: How bitcoin cold wallets lost $70 million
- The Hacker News: Coldcard Hardware Wallet Flaw
- Crypto Times: Coldcard Hack Hits $75M – Galaxy Research
Mehr Klartext, direkt ins Postfach
Neue Analysen zu Security, KI und Crypto per Mail – zum Einstieg die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.
Zur Anmeldung