Coldcard-Hack: Der Worst-Case für Bitcoin? 

Krypto-Hacks entwickeln sich 2026 zu einem immer größeren strukturellen Risiko. Neben Börsen, Bridges und Smart Contracts geraten zunehmend auch vermeintlich besonders sichere Hardware-Wallets ins Visier.

Zugleich verändert künstliche Intelligenz das Kräfteverhältnis: Angreifer können riesige Codebestände schneller durchsuchen, verdächtige Stellen identifizieren und mögliche Schwachstellen automatisiert analysieren. Genau dieses Szenario könnte nun bei COLDCARD eingetreten sein.

Eine jahrelang unentdeckte Schwäche bei der Erzeugung kryptografischer Schlüssel machte bestimmte Bitcoin-Wallets offenbar berechenbar. Innerhalb weniger Minuten wurden bereits Hunderte Wallets geleert. Der Vorfall zeigt damit, dass selbst konsequente Selbstverwahrung keinen Schutz bietet, wenn die zugrunde liegende Zufallsquelle fehlerhaft ist.

Beste Memecoins – unsere Cryptonews-Rangliste

COLDCARD-Hack: Fehlerhafte Zufallszahlen gefährden Bitcoin-Wallets

Im Mittelpunkt des Vorfalls steht die Bitcoin-Hardware-Wallet COLDCARD des kanadischen Herstellers Coinkite. Hardware-Wallets sollen private Schlüssel vollständig offline erzeugen und speichern. Entscheidend ist dabei die sogenannte Entropie: Die Seed-Phrase muss auf echten, möglichst unvorhersehbaren Zufallswerten beruhen. Ist diese Zufälligkeit zu gering, kann ein Angreifer mögliche Seeds systematisch durchprobieren und anschließend die zugehörigen Bitcoin-Adressen überprüfen.

Genau hier lag offenbar der Fehler. Bei einer Firmware-Umstellung im März 2021 wurde die Seed-Erzeugung auf eine neue Softwarebibliothek übertragen. Aufgrund eines Integrationsfehlers griff das System jedoch nicht wie vorgesehen auf den echten Hardware-Zufallszahlengenerator zurück. Stattdessen wurde ein deterministischer Softwaregenerator verwendet, dessen Ausgangswerte unter anderem aus der Serienkennung des Chips und zeitabhängigen Registerwerten abgeleitet wurden. Diese Informationen sind nicht ausreichend geheim und können von Angreifern zumindest eingegrenzt werden.

Coldcard issues Mk3 seed warning after 594 BTC theft raises security concerns

Coinkite warned that wallets created on Coldcard Mk3 devices running firmware versions 4.0.1 through 5.0.3 may be at risk due to a seed generation flaw. Users are advised to migrate funds immediately.… pic.twitter.com/KuNoyOOAEI

— Wu Blockchain (@WuBlockchain) July 31, 2026

Besonders schwer betroffen sind ältere Mk2- und Mk3-Geräte mit Firmware-Versionen zwischen 4.0.0 beziehungsweise 4.0.1 und 4.1.9. Coinkite schätzt deren effektive Sicherheit teilweise auf nur etwa 40 Bit. Neuere Modelle wie Mk4, Mk5 und Q erhielten zwar zusätzliche Zufallswerte aus Secure Elements, erreichten laut Hersteller aber ebenfalls nur ungefähr 72 statt der vorgesehenen 128 Bit Entropie. Auch diese Seeds gelten deshalb als betroffen, sofern sie vor den inzwischen veröffentlichten Firmware-Updates erzeugt wurden.

Die Folgen waren bereits massiv: Rund 594 Bitcoin im damaligen Wert von etwa 38 Millionen US-Dollar wurden innerhalb von lediglich 25 Minuten aus ungefähr 500 Single-Signature-Wallets abgezogen. Insgesamt bewegte der Angreifer mehr als 1.300 einzelne Bitcoin-Bestände über 500 Transaktionen. Ein Großteil wurde anschließend auf einer zentralen Adresse zusammengeführt. Viele der betroffenen Wallets waren jahrelang inaktiv, was dafür spricht, dass nicht Phishing oder ein aktueller Bedienfehler, sondern die bereits bei der ursprünglichen Seed-Erzeugung entstandene Schwäche ausgenutzt wurde.

Ein gewöhnliches Firmware-Update reicht dabei nicht aus. Bereits erzeugte Seeds bleiben unsicher. Betroffene Nutzer müssen zunächst die korrigierte Firmware installieren, anschließend eine vollständig neue Seed-Phrase erzeugen und ihre Bitcoin kontrolliert auf neue Adressen übertragen. Eine wichtige Ausnahme können Nutzer sein, die bei der ursprünglichen Einrichtung mindestens 50 unabhängige und geheime Würfelwürfe zur zusätzlichen Entropie verwendet haben.

Analyst warnt vor einem historischen Sicherheitsversagen

Der Bitcoin-Analyst Calle bezeichnet den Vorfall als möglicherweise schlimmer als frühere Hacks zentralisierter Kryptobörsen. Seine Begründung: Die Betroffenen haben offenbar nicht leichtfertig gehandelt. Sie hielten ihre Bitcoin nicht auf einer Börse, gaben ihre Seed-Phrase nicht online ein und nutzten eine etablierte, air-gapped Hardware-Wallet. Dennoch waren ihre Schlüssel möglicherweise bereits seit der Erstellung technisch vorhersehbar.

This is worse than any previous Bitcoin exchange hack. It is arguably one of the worst things that could happen.

The popular hardware wallet COLDCARD has a faulty random number generator (RNG). Funds are being drained from ordinary users’ hardware wallets as you read this.…

— calle (@callebtc) July 31, 2026

Besonders gefährlich ist laut seiner Einschätzung, dass der Angriff nicht mit einer einmaligen Transaktion abgeschlossen sein muss. Sobald die Schwachstelle öffentlich bekannt ist, können mehrere unabhängige Gruppen versuchen, weitere betroffene Seeds zu berechnen. Es entsteht faktisch ein Wettlauf zwischen Angreifern und Nutzern, die ihre Bestände noch rechtzeitig auf sichere Wallets verschieben müssen. Niemand weiß derzeit exakt, wie viele potenziell angreifbare Seeds erzeugt wurden oder wie viele Bitcoin noch auf entsprechenden Adressen liegen.

Coinkite selbst hält es für möglich, dass künstliche Intelligenz beim Auffinden des jahrelang öffentlich einsehbaren Fehlers geholfen hat. Bewiesen ist dies bislang allerdings nicht. Der Hersteller erklärt lediglich, dass der Open-Source-Code automatisiert analysiert worden sein könnte. Brisant ist, dass Coinkite nach eigenen Angaben zuvor selbst ein leistungsfähiges KI-Modell zur Sicherheitsprüfung eingesetzt hatte – ohne dass dieses die Schwachstelle fand.

Damit berührt der Fall das Fundament der Bitcoin-Selbstverwahrung: Eine Hardware-Wallet schützt nur dann, wenn die erzeugten privaten Schlüssel tatsächlich unberechenbar sind. Versagt diese Grundannahme, helfen weder Air-Gap noch sichere Backups oder jahrelange Inaktivität.

Neue Kryptowährungen in 2026 – hier mehr erfahren