BTC-Hack: Coldcard-Bug zieht $114 Mio. aus 709 Wallets

Eine Schwachstelle in der Coldcard-Firmware hat laut Foundation-CEO Zach Herbert in einer CoinDesk-Kolumne fast $114 Millionen in Bitcoin aus mehr als 709 Adressen abgezogen, wobei der erste Sweep in 25 Minuten rund 500 Wallets leer räumte. Der Bug war im März 2021 in den Coldcard-Codebase gelangt und lag mehr als fünf Jahre lang öffentlich einsehbar im Open Source, bevor er ausgenutzt wurde. Herbert rahmt den Vorfall als gemeinschaftliches Versagen bei der Verifikation, nicht als einmaliges Versehen eines Anbieters.

Warum es zählt

Die tiefergehende Lesart ist strukturell. Coldcards Quellcode war stets offen einsehbar, aber das 'don't trust, verify'-Ethos funktioniert nur, wenn qualifizierte Prüfer tatsächlich hinschauen, und fünf Jahre lang hat dies effektiv niemand getan. Der Bug gelangte kurz nachdem Coinkite-CEO Rodolfo Novak die GPL-Lizenz von Coldcard öffentlich bedauert hatte in den Codebase; Coldcard wechselte anschließend zur Commons Clause, deren FAQ festhält, dass die resultierende Software nicht mehr Open Source sei. Es folgte eine umfassende Neufassung, und der März-2021-Commit, der den letzten GPL-Code entfernte, ist derselbe Commit, der die Seed-Generierung brach.

Das zweite Versagen ist das, was denjenigen widerfuhr, die doch hinschauten. 2020 legten Shift Crypto und Nunchuk einen Multisig-Verifikationsfehler in Coldcard offen; Novak bezeichnete die Offenlegung im Citadel-Dispatch-Podcast als 'PR-Terrorismus'. 2023, als WalletScrutiny über Reproduktionsprobleme in älteren Builds berichtete, wurde das Projekt als inkompetent oder bösartig bezeichnet und Klagen ins Spiel gebracht. Eine unabhängige Nachuntersuchung bestätigte später echte Reproduktionsprobleme und kam zu dem Schluss, dass niemand in böser Absicht gehandelt hatte.

Marktauswirkung

Die Dollarzahl steigt. In den ersten 25 Minuten wurden rund 500 Wallets leergeräumt, die Gesamtsumme liegt nun bei $114 Millionen und steigt über 709+ Adressen. Coldcard-Nutzer auf verwundbarer Firmware können sich durch ein Update nicht erholen; betroffene Seeds müssen zu Wallets migriert werden, die auf einer sauberen Entropiequelle generiert wurden.

Der Reputationsschaden geht tiefer. BTC-Sessions-Moderator Ben Perrin gab öffentlich zu, dass er Coldcards Verhalten durchgewunken hatte, weil er annahm, dass Selbstbewusstsein mit Sicherheit einhergehe. Das Echo des Vorfalls durchzieht Self-Custody-Empfehlungen und Produktbewertungen, die dieselben unverifizierten Behauptungen enthielten.