Coldcard-Hack: 89 Millionen Dollar aus sicheren Wallets gestohlen

Hardware-Wallets gelten seit Jahren als sicherste Methode zur Aufbewahrung von Bitcoin: kleine Offline-Geräte, die nie mit dem Internet verbunden sind, auf denen private Schlüssel das Gerät nie verlassen. Seit dem 30. Juli 2026 wurden Tausende dieser Geräte aus der Ferne geleert, ohne dass irgendjemand sie physisch berührt hat. Laut Galaxy Research beläuft sich der Schaden auf knapp 89 Millionen Dollar.

Betroffen ist Coldcard, einer der angesehensten Hardware-Wallet-Hersteller im Bitcoin-Ökosystem. Das Erschreckendste daran ist die Ursache: kein ausgefeilter Angriff, sondern ein banaler Softwarefehler, der fünf Jahre lang unentdeckt blieb. Was genau passiert ist, warum Bitcoin keine Schuld trägt, und wie DACH-Nutzer herausfinden, ob sie betroffen sind.

Was ist passiert: Die Zahlen im Überblick

Die Fakten, die Analysten von Galaxy Research durch Blockchain-Auswertungen rekonstruiert haben, sind eindeutig. Ab dem 30. Juli 2026 begann ein Angreifer, Coldcard-Wallets in mehreren Wellen zu leeren. Die erste Welle entzog laut Galaxy Research rund 594 Bitcoin in weniger als einer halben Stunde. Folgewellen brachten das Gesamtvolumen auf etwa 1.367 Bitcoin, entsprechend knapp 89 Millionen Dollar, die aus 4.585 verschiedenen Adressen abgezogen wurden.

Besonders beunruhigend: Viele dieser Wallets waren seit Jahren inaktiv. Ihre Besitzer, überzeugt, ihre Ersparnisse sicher verwahrt zu haben, sahen das Guthaben verschwinden, ohne irgendetwas getan zu haben. Kein Klick auf einen Phishing-Link, kein Fehler ihrerseits. Der Angreifer brauchte sie nicht zu täuschen. Ein technischer Fehler reichte aus.

Die Ursache: Zufälligkeit, die keine war

Jetzt kommt der technische Teil, und er ist einfacher zu verstehen, als er klingt. Die Sicherheit eines Wallets beruht auf einem einzigen Prinzip: Bei der Einrichtung erzeugt das Gerät einen geheimen Schlüssel, den sogenannten „Seed“, indem es aus einer astronomisch großen Zahl möglicher Kombinationen schöpft. Diese Auswahl muss vollständig zufällig und unvorhersehbar sein.

Genau hier hat Coldcard versagt. Ein Fehler, der mit einem Firmware-Update vom März 2021 eingeführt wurde, bewirkte, dass bestimmte Geräte nicht den dedizierten Hardware-Zufallsgenerator nutzten, sondern auf eine vorhersehbare Software-Methode zurückfielen, die auf nicht-geheimen Chip-Daten basierte. Dadurch schrumpfte der Raum möglicher Kombinationen erheblich: von einer praktisch unerforschbaren Menge auf eine Größenordnung, die ein Computer systematisch durchsuchen konnte. Die geheimen Schlüssel dieser Wallets waren de facto weit weniger geheim, als ihre Besitzer glaubten. Ein Angreifer konnte sie rechnerisch rekonstruieren, ohne je ein Gerät anzufassen.

Warum Bitcoin keine Schuld trägt (und was die eigentliche Lehre ist)

Dieser Punkt verdient Klarheit, um unberechtigte Panik zu vermeiden. Das Bitcoin-Netzwerk selbst ist weiterhin integer und unangetastet. Die kryptografischen Grundlagen des Protokolls wurden nicht gebrochen. Das Problem lag an einem einzelnen Produkt eines einzelnen Herstellers, genauer gesagt an einer bestimmten Firmware-Version. Es ist vergleichbar mit einem Safe-Hersteller, der versehentlich ein fehlerhaftes Schloss verbaut: nicht der Stahl ist schuld, sondern der Mechanismus.

Die Lehre daraus geht für alle, die Kryptowährungen besitzen, weit über Coldcard hinaus. Sie erinnert daran, dass die Sicherheit eines Wallets nicht nur davon abhängt, wo die Schlüssel aufbewahrt werden, sondern wie sie erzeugt wurden. Ein Offline-Gerät bringt nichts, wenn der Schlüssel von Anfang an berechenbar war. Das ist dasselbe Prinzip, das BaFin-regulierte Verwahrer im Rahmen der MiCA-Anforderungen an technische Sicherheit kennen: Sicherheit ist eine Kette, und sie ist nur so stark wie ihr schwächstes Glied.

Bin ich betroffen? Die praktische Checkliste

Kommen wir zum konkreten Teil, der für jeden Hardware-Wallet-Besitzer zählt. Die gute Nachricht: Die Exposition gegenüber diesem spezifischen Problem ist klar begrenzt. Nicht alle Coldcard-Nutzer sind betroffen, und wer andere Wallets verwendet, ist von diesem Angriff nicht betroffen.

Potenziell gefährdet ist man nur, wenn alle folgenden Bedingungen gleichzeitig zutreffen: Man besitzt ein älteres Coldcard-Modell (Mk3), hat den Seed direkt auf dem Gerät mit der fehlerhaften Firmware-Version aus diesem Zeitraum generiert und keine zusätzliche Passphrase verwendet. Wer ein neueres Modell besitzt, einen anderswo erstellten Seed importiert hat oder eine Passphrase hinzugefügt hat, ist von dieser spezifischen Schwachstelle nicht betroffen. Ein entscheidender Hinweis: Wer betroffen ist, rettet sich nicht durch ein Firmware-Update. Die Korrektur verhindert, dass neue Seeds schwach erzeugt werden, repariert aber keinen bereits schlecht generierten Schlüssel. Die einzige Lösung ist in diesem Fall, ein neues, sicheres Wallet zu erstellen und die Mittel dorthin umgehend zu verschieben.

Das größere Bild

Der Coldcard-Angriff gehört zu den lehrreichsten Sicherheitsvorfällen der letzten Jahre. Er trifft eine Gewissheit, die in der Krypto-Welt als selbstverständlich galt: dass Cold Storage, die Offline-Verwahrung, eine uneinnehmbare Festung sei. Das stimmt, aber nur, wenn jede Komponente fehlerfrei gebaut ist. Ein einziger Fehler, der fünf Jahre lang in einem öffentlich einsehbaren Code verborgen blieb, reichte aus, um den Tresor in eine offene Tür zu verwandeln.

Die Lehre für alle, die ihre Ersparnisse selbst verwahren, lautet nicht: „Cold Storage ist gefährlich“, denn es bleibt die sicherste Methode. Es geht vielmehr darum, dass Self-Custody eine Verantwortung ist, die Bewusstsein verlangt: zu verstehen, nicht nur wo die Schlüssel liegen, sondern wie sie entstanden sind, Geräte aktuell zu halten und zu diversifizieren, statt alles auf ein einziges Instrument zu setzen. Blindes Vertrauen in ein Gerät, so renommiert es auch sein mag, ist selbst ein Risiko. Im Krypto-Bereich ist der eigentliche Tresor nicht die Hardware, sondern das Wissen. Wer mehr erfahren möchte, findet in unserem Leitfaden zur sicheren Verwahrung von Kryptowährungen weiterführende Informationen.