Bitcoin wurde als dezentrales Geldsystem geschaffen, das ohne Banken und andere zentrale Verwahrer funktioniert. Wer seine BTC selbst hält, kontrolliert über den privaten Schlüssel unmittelbar über das Vermögen. Deshalb galt Self-Custody lange als sicherstes Mittel gegen Börsenpleiten, Kontosperrungen oder den Missbrauch von Kundengeldern. Doch Eigenverantwortung schützt nur, wenn Wallet, Software und Schlüsselerzeugung tatsächlich sicher sind. […]
Bitcoin wurde als dezentrales Geldsystem geschaffen, das ohne Banken und andere zentrale Verwahrer funktioniert. Wer seine BTC selbst hält, kontrolliert über den privaten Schlüssel unmittelbar über das Vermögen. Deshalb galt Self-Custody lange als sicherstes Mittel gegen Börsenpleiten, Kontosperrungen oder den Missbrauch von Kundengeldern. Doch Eigenverantwortung schützt nur, wenn Wallet, Software und Schlüsselerzeugung tatsächlich sicher sind. Der massive Angriff auf Nutzer der Bitcoin-Hardware-Wallet Coldcard erschüttert nun genau diese Annahme. Nicht Bitcoin selbst wurde kompromittiert, sondern eine zentrale Sicherheitskomponente einzelner Wallets – mit Verlusten von inzwischen mehr als 100 Millionen US-Dollar.
Kryptowährungen kaufen – alles Wissenswerte für 2026
Coldcard-Hack: Schwache Seed-Phrasen ermöglichen massiven Bitcoin-Diebstahl
Im Mittelpunkt des Angriffs steht Coldcard, eine auf Bitcoin spezialisierte Hardware-Wallet des kanadischen Herstellers Coinkite. Hardware-Wallets sollen private Schlüssel offline erzeugen und aufbewahren, sodass Angreifer selbst über einen kompromittierten Computer nicht ohne Weiteres auf die Bitcoin zugreifen können. Genau bei der Erzeugung dieser Schlüssel trat jedoch offenbar ein gravierender Fehler auf.
🚨LOSSES FROM COLDCARD HACK EXCEED $100M
High confidence 1,596 BTC has been stolen from ~7300 addresses across 3 confirmed waves + more 14 smaller incidents.
If we add suspected (but unconfirmed), the total balloons to $130m (2k BTC).
More in the thread below 👇 pic.twitter.com/RAl3ib67qa
— Galaxy Research (@glxyresearch) August 3, 2026
Nach der technischen Analyse von Block konnten bestimmte Coldcard-Firmware-Versionen bei der Generierung neuer Wallets auf unzureichend zufällige Werte zurückgreifen. Die erzeugten Seed-Phrasen besaßen dadurch teilweise deutlich weniger Entropie als vorgesehen. Statt praktisch unerratbar zu sein, konnten betroffene Schlüssel mit erheblichem Rechenaufwand möglicherweise systematisch rekonstruiert werden. Ein physischer Zugriff auf das Gerät war dafür nicht erforderlich.
Betroffen sind laut Coinkite Seeds, die auf verschiedenen Coldcard-Modellen mit verwundbarer Firmware erstellt wurden. Dazu gehören ältere Mk2- und Mk3-Versionen sowie Seeds bestimmter Mk4-, Q- und Mk5-Geräte. Einen besseren Schutz boten Wallets, deren Seed mit mindestens 50 unabhängigen Würfelwürfen ergänzt oder durch eine starke und einzigartige BIP-39-Passphrase abgesichert wurde.
Galaxy Research bezifferte die bislang mit hoher Sicherheit zugeordneten Verluste zuletzt auf rund 1.596 BTC aus ungefähr 7.300 Adressen. Einschließlich weiterer noch nicht bestätigter Transaktionen könnte der Schaden bei etwa 2.000 BTC beziehungsweise rund 130 Millionen US-Dollar liegen. Zunächst waren mehrere große Angriffswellen beobachtet worden, bei denen teilweise innerhalb weniger Minuten Hunderte Wallets geleert wurden.
Besonders wichtig: Ein einfaches Firmware-Update reicht bei bereits erzeugten Seeds nicht aus. Die schwache Seed-Phrase bleibt kompromittierbar. Betroffene Nutzer müssen nach dem Update eine vollständig neue Wallet mit neuer Seed-Phrase erstellen und ihre Bitcoin dorthin übertragen.
Bitcoin Red Team warnt vor weiteren kritischen Schwachstellen
Der Coldcard-Fall könnte nach Einschätzung mehrerer Bitcoin-Sicherheitsforscher lediglich ein Symptom eines deutlich größeren Problems sein. Ein informelles „Bitcoin Red Team“ untersucht derzeit gezielt zentrale Komponenten des Ökosystems. Beim Red Teaming versuchen Experten, Wallets, Kryptografie-Bibliotheken, Infrastruktur und andere Anwendungen aus der Perspektive eines Angreifers zu kompromittieren. Ziel ist es, Schwachstellen zu finden und verantwortungsvoll an die betroffenen Entwickler zu melden, bevor Kriminelle sie ausnutzen.
red teaming bitcoin:
– we’ve written multiple harnesses and we’re launching a huge wave of reviews against many core bitcoin projects: crypto libs, wallets, infra, …
– situation is extremely bad.
– we’re averaging on the order of 1 critical exploit per hour per person.
– we’ve… https://t.co/9zlaaObU03— calle (@callebtc) August 4, 2026
Welche Projekte konkret betroffen sind, wurde aus Sicherheitsgründen zunächst nicht offengelegt. Eine sofortige Veröffentlichung könnte Angreifern Hinweise liefern, bevor Patches verfügbar sind. Das Red Team spricht deshalb von einem verantwortungsvollen Meldeprozess und einer sehr kostenintensiven Untersuchung, die laut Calle etwa 10.000 US-Dollar täglich verschlingt. Die Finanzierung werde unter anderem von der gemeinnützigen Bitcoin-Organisation OpenSats unterstützt.
Die Warnung betrifft nicht den Konsensmechanismus oder die Bitcoin-Blockchain selbst. Das Netzwerk kann weiterhin korrekt funktionieren, während einzelne Wallets, Apps oder Bibliotheken verwundbar sind. Damit wird jedoch ein entscheidender Unterschied sichtbar: Dezentralisierung beseitigt das Verwahrungsrisiko zentraler Börsen, aber nicht automatisch Softwarefehler. Self-Custody bleibt ein wichtiger Grundsatz – verlangt künftig jedoch noch stärker geprüfte Software, aktualisierte Firmware, sichere Seed-Erzeugung und gegebenenfalls Multisignature-Lösungen.
Mehr erfahren: Beste Krypto-Presales in 2026
next