Es ist der Albtraum jedes Krypto-Besitzers: Dein Hardware-Wallet gilt als Fort Knox für deine Coins — und trotzdem ist das Geld auf einmal weg. Genau das ist tausenden Coldcard-Nutzern passiert. In nur 41 Minuten zog ein Angreifer über 1.000 Bitcoin ab. Am Ende standen rund 88,6 Millionen Dollar aus 4.585 Adressen auf der Verlustliste.
SCHOCK: Der Zufall war gar keiner
Die Ursache klingt harmlos und ist doch fatal. Die Coldcard von Coinkite hat einen eigenen Hardware-Zufallsgenerator eingebaut — genau dafür, damit dein geheimer Seed wirklich unvorhersehbar ist. Durch einen Integrationsfehler in der Firmware wurde dieser Chip aber gar nicht genutzt. Stattdessen sprang ein Notbehelf aus MicroPython ein, ein sogenannter Yasmarang-Generator.
Das Problem: Dieser Notbehelf zieht seine Werte aus der Chip-Kennung und aus Zeitstempeln des Geräts. Beides ist nicht kryptografisch sicher und in Teilen sogar rekonstruierbar. Wer die Methode kennt, kann den Raum möglicher Seeds massiv einschränken — und irgendwann die passenden Schlüssel einfach durchrechnen.
GEFAHR: Fünf Jahre lang unter dem Radar
Besonders bitter: Der Fehler steckte laut den Berichten rund fünf Jahre in der Firmware. Gemeldet wurde er Coinkite am 30. Juli. Nur Stunden später begann der große Abzug. In der ersten Welle verschwanden etwa 1.082 BTC im Wert von rund 70 Millionen Dollar. Bis zum 1. August kamen weitere Transaktionen dazu, die die Summe auf die genannten 88,6 Millionen Dollar hochtrieben.
Coinkite reagierte mit Notfall-Firmware für alle betroffenen Modelle. Doch hier liegt der Haken, den viele unterschätzen.
WICHTIG: Ein Update allein rettet dich nicht
Ein frisches Firmware-Update stopft die Quelle des Fehlers. Aber es repariert keinen Seed, der bereits schwach erzeugt wurde. Wenn deine Wallet mit der fehlerhaften Version aufgesetzt wurde, bleibt der geheime Schlüssel angreifbar — egal wie aktuell die Software jetzt ist.
Das heißt konkret: Update einspielen, dann eine komplett neue Wallet mit sauber erzeugtem Seed anlegen und dein gesamtes Guthaben dorthin umziehen. Am sichersten ist ein Seed, den du extern und nachvollziehbar erzeugst — etwa mit Würfeln oder einer geprüften Methode, die nicht allein auf einer einzigen Softwarequelle beruht.
EXTRA-TIPP: Was du aus diesem Fall lernen kannst
Der Coldcard-Vorfall ist eine Lehrstunde für alle, die etwas selbst absichern — vom Krypto-Wallet bis zum Homelab. Vertraue keiner einzigen Zufallsquelle blind. Prüfe bei sicherheitskritischen Geräten regelmäßig die Firmware-Changelogs. Und behalte im Kopf: Ein Gerät, das jahrelang unauffällig lief, ist nicht automatisch fehlerfrei. Es hat nur noch niemand hingeschaut.
Für dich als Nutzer bleibt die gute Nachricht, dass der Fehler nur Seeds betrifft, die das Gerät selbst mit der betroffenen Firmware erzeugt hat. Wer seine Schlüssel extern erstellt hat, kann vorerst aufatmen — sollte aber trotzdem updaten.
Häufige Fragen
Welche Coldcard-Geräte sind betroffen?
Reicht ein Firmware-Update, um mich zu schützen?
Wie konnte so etwas fünf Jahre unbemerkt bleiben?
Ist mein Bitcoin-Guthaben generell in Gefahr?
Dieser Beitrag ist ein tagesaktueller Nachrichten-Überblick und keine Anlage- oder Sicherheitsberatung. Prüfe kritische Schritte immer selbst und sichere vor jeder Wallet-Migration ein Backup.