Ein Coldcard Hack hat gezeigt, dass selbst eine Hardware-Wallet keinen absoluten Schutz bietet, wenn die Firmware einen Fehler enthält. Laut der Analysefirma Galaxy Research erbeuteten Angreifer rund 1.082 Bitcoin im Wert von etwa 70 Millionen US-Dollar – und das binnen 41 Minuten, ohne die Geräte je physisch berührt zu haben. Betroffen sind Nutzer der beliebten Coldcard-Wallets des Herstellers Coinkite.
Wie der Coldcard Hack funktioniert
Die Ursache liegt tief in der Firmware. Ein Integrationsfehler aus dem März 2021 leitete die Erzeugung des Wallet-Seeds auf einen deterministischen Software-Zufallszahlengenerator (PRNG) um – statt auf den echten Hardware-Zufallsgenerator des verbauten STM32-Chips. Ein deterministischer Generator liefert bei gleichen Ausgangsbedingungen immer dieselbe Folge.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Genau das machten sich die Angreifer zunutze. Wer den Geräte-UID, den Timer-Zustand und die bisherige Aufruf-Historie des Generators hinreichend eingrenzen kann, ist in der Lage, die möglichen Seeds offline nachzurechnen. Aus diesen Kandidaten leitet man die Bitcoin-Adressen ab und gleicht sie mit den öffentlichen Blockchain-Daten ab. Der Angriff findet damit vollständig außerhalb des Geräts statt.
Ausmaß des Angriffs
Die Zahlen von Galaxy Research zeichnen ein deutliches Bild:
- Zeitraum: 30. Juli, zwischen 01:10 und 01:51 UTC
- Erste Welle: rund 1.082,65 BTC (etwa 70 Mio. Dollar) aus 1.196 Adressen
- Zweite Welle (1. August): mutmaßlich derselbe Angreifer, insgesamt rund 1.158 BTC (etwa 75,1 Mio. Dollar) aus 2.673 Adressen
Damit reiht sich der Vorfall in eine Serie teurer Krypto-Angriffe des Sommers 2026 ein – zuletzt etwa der Wanchain Bridge-Hack. Anders als bei Börsen-Hacks trifft es hier aber Nutzer, die ihre Coins bewusst selbst verwahrt haben.
Was betroffene Nutzer jetzt tun müssen
Coinkite hat am 31. Juli für alle betroffenen Modelle und Release-Zweige eine Notfall-Firmware veröffentlicht. Wichtig ist der Haken dabei: Das Update schließt zwar die Lücke, repariert aber einen bereits kompromittierten Seed nicht. Wer eine potenziell betroffene Wallet nutzt, sollte daher nicht nur die Firmware aktualisieren, sondern anschließend eine neue Wallet mit frisch erzeugtem Seed anlegen und sämtliche Guthaben dorthin übertragen.
Die Lehre für die Selbstverwahrung
Der Fall macht eine unbequeme Wahrheit sichtbar: Bei einer Hardware-Wallet steht und fällt die Sicherheit mit der Qualität der Zufallszahlen und der Firmware. Ein einziger, jahrelang unbemerkter Fehler kann Tausende Wallets angreifbar machen. Das ist kein Argument gegen Selbstverwahrung – wohl aber eines für Geräte mit nachvollziehbarer Entropie-Quelle, zügigen Updates und offener Prüfbarkeit. Wer sich neu orientiert, findet in unserem Ratgeber zu den besten Krypto-Hardware-Wallets 2026 die wichtigsten Auswahlkriterien.
Quellen
- CoinDesk: How bitcoin cold wallets lost $70 million
- The Hacker News: Coldcard Hardware Wallet Flaw
- Crypto Times: Coldcard Hack Hits $75M – Galaxy Research
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden