Eine Softwarelücke in Coinkites Coldcard-Hardware-Wallet hat zum Diebstahl von fast 600 BTC im Wert von rund $38 Millionen geführt. Ausgenutzt wurde ein Bug in bestimmten Firmware-Versionen, die Wallet-Seeds mit deutlich weniger Zufälligkeit als vorgesehen erzeugten und sie anfällig für Brute-Force-Angriffe machten. Die Schwachstelle wurde inzwischen behoben, doch Coinkite-CEO NVK warnte in einem offenen Brief, dass bestehende Nutzer vollständig neue Wallets erstellen und ihre Mittel verschieben müssen, da der Fix bereits auf verwundbarer Firmware erzeugte Seeds nicht nachträglich absichert.
Warum das wichtig ist
Der Vorfall trifft eines der zentralen Versprechen von Bitcoin: Vermögenswerte halten zu können, ohne einer Bank oder Börse vertrauen zu müssen. Bitcoin-Kommentator Guy Swann nannte ihn "the worst hit in bitcoin history to the most knowledgeable and 'properly secured' bitcoiners" und verwies darauf, dass der Diebstahl einzelne private Schlüssel traf, nicht die Hot Wallet eines zentralisierten Verwahrers. Lorenzo Valente von ARK Invest ging weiter und argumentierte, dass "the self-custodial hardware space is a disaster at this point" und Nutzer Gegenparteirisiko faktisch gegen Software-, Hardware-, Lieferketten- und operative Risiken eingetauscht hätten. Casa-CEO Nick Neuman ergänzte, von normalen Nutzern zu verlangen, die Wallet-Zufälligkeit mit physischen Würfelwürfen zu ergänzen, sei "a non-starter for 99% of people."
Marktauswirkungen
Der Exploit passt in ein breiteres Muster, auf das die Blockchain-Sicherheitsfirma Blockaid hingewiesen hat: Die meisten Krypto-Verluste in der ersten Hälfte 2026 gingen nicht auf Smart-Contract-Hacks zurück, sondern auf kompromittierte Schlüssel und Fehler in der operativen Sicherheit. Taproot-Entwickler Udi Wertheimer argumentierte, der Vorfall zeige, wie unrealistisch passive Verwahrung geworden sei, da Halter Bedrohungen nun entweder ständig überwachen oder einen professionellen Verwahrer dafür bezahlen müssten. Diese Abwägung dürfte mehr Mainstream-Kapital in regulierte Produkte wie BlackRocks IBIT lenken. Amicus-Mitgründer David Lawrence sagte, neue Investoren könnten angesichts der Folgen schlicht zu dem Schluss kommen: "I'm safer to just buy IBIT," und fügte hinzu, der Traum von acht Milliarden Menschen, die ihre eigenen Bitcoin im Cold Storage halten, sei "done."
Häufig gestellte Fragen
-
Was ist beim Coldcard-Exploit passiert?
Ein Bug in bestimmten Coldcard-Firmware-Versionen erzeugte Wallet-Seeds mit deutlich weniger Zufälligkeit als vorgesehen und machte sie anfällig für Brute-Force-Angriffe. Angreifer nutzten die Lücke, um Recovery-Phrases zu rekonstruieren und fast 600 BTC im Wert von rund $38 Millionen von Nutzern zu stehlen, die ihre…
-
Hat Coldcard die Schwachstelle behoben?
Coldcard hat die Firmware gepatcht, doch Coinkite-CEO NVK warnte, dass betroffene Nutzer vollständig neue Wallets erstellen und ihre Mittel verschieben müssen. Das Firmware-Update sichert Seeds, die bereits auf verwundbaren Versionen erzeugt wurden, nicht nachträglich ab.
-
Warum nennen Bitcoin-Befürworter dies den schlimmsten Self-Custody-Fehlschlag?
Bitcoin-Kommentator Guy Swann und andere weisen darauf hin, dass der Angriff nicht die Hot Wallet eines zentralisierten Verwahrers traf, sondern die privaten Schlüssel einzelner Nutzer mit einem Setup, das als besonders sichere Self-Custody-Lösung galt. Die Opfer waren technisch besonders vorsichtige Halter, nicht…
-
Wie wirkt sich das auf Spot-Bitcoin-ETFs wie IBIT aus?
Analysten wie Amicus-Mitgründer David Lawrence argumentieren, dass der Vorfall neue Investoren eher zu regulierten Produkten wie BlackRocks IBIT treiben wird als zur Self-Custody. Der Grund: Institutionelle Verwahrer haben eigene Sicherheitsteams und nehmen einzelnen Haltern die technische Last ab.
-
Was empfiehlt Coldcard betroffenen Nutzern?
Coinkite-CEO NVK forderte Nutzer auf, ihre Mittel sofort nach aktualisierten Best Practices zu verschieben, bevor sie weitere Anleitungen lesen. Empfohlen wird, vollständig neue Wallets auf gepatchter Firmware zu erzeugen, statt sich allein auf Firmware-Updates zu verlassen, da alte Seeds verwundbar bleiben.
CryptoSlate
TheBlock
Lookonchain
WuBlockchain