Jede Zipp-Geschichte mit dem Tag #HardwareWallet, die neueste zuerst.
Es wurden zwar keine Bitcoin-Schlüssel oder Guthaben offengelegt, doch Namen und Lieferadressen können Phishing mit Wiederherstellungswörtern noch lange nach einem Wallet-Kauf glaubwürdig erscheinen lassen.
Die Wallets bleiben sicher, aber eine Datenpanne bei einem externen Newsletter-Anbieter legte E-Mail-Listen mehrerer Bitcoin-Firmen offen. Die Gefahr liegt darin, den Anweisungen der E-Mail zur Recovery-Seed zu folgen.
Trezors zweite Drittanbieter-Panne binnen zwei Monaten, und diesmal verschickten Angreifer die Phishing-Mails über die echte Domain des Anbieters statt über eine ähnlich aussehende Adresse.
Besitzer von Hardware-Wallets sind Phishing und physischer Zielverfolgung ausgesetzt, da rund 67.000 weitere Datensätze von einem Anbieter auftauchen, den Trezor bereits gelöscht glaubte. Die 90-tägige Löschrichtlinie hat nicht gehalten.
HWI bleibt offen und unterstützte Geräte funktionieren weiter, doch der Nachfolger BHWI liefert Paritätstests nur für vier Geräte, ohne dass ein Wallet produktiv darauf setzt.
Ledger hat den Fix für einen Fehler am 5. Mai und den anderen am 25. Mai zusammengeführt. Die Auslieferung erfolgte im August. Die Lücke zwischen Merge und Release ist die unbequeme Lektüre für Hardware-Wallet-Kunden.
Die 683M ZIL Zahl sorgt für Schlagzeilen, aber das siebenjährige Bestehen des Bugs in einer Ledger-signierten Anwendung ist die eigentliche Warnung für alle Token, die weiterhin auf native Hardware-Wallet-Signaturen angewiesen sind.
Der Fehler war strukturell und nicht zufällig: Ein als vorhanden behandeltes Feature-Flag ermöglichte es Angreifern, private Schlüssel mit einem einzigen Tastendruck zu rekonstruieren. Coinkite zufolge kam es bereits zu schweren Verlusten.
Der Patch strafft den RNG und den Signaturablauf, doch Seeds von betroffener Firmware zwischen 2021 und Juli 2026 müssen weiterhin ersetzt werden. Das branchenweite Signal ist hier der KI-gestützte Audit.
Die 100 Mio. $ durch physischen Diebstahl sind die Schlagzeile; der Datenleck mit 40.000 Datensätzen ist die strukturelle Warnung. Hardware-Wallet-Sicherheit bedeutet heute, das zu kontrollieren, was hinter dem Gerät liegt, nicht nur das Gerät selbst.
Der Bug lag fünf Jahre lang in Open-Source-Code, während eine auf 'don't trust, verify' aufgebaute Community ihr Urteil an den Ruf eines einzigen Anbieters auslagerte, argumentiert Foundation-CEO Zach Herbert.
Private Keys und Seed-Phrasen sind nicht betroffen, doch Namen, physische Anschriften und Kontaktdaten sind nun in Umlauf und liefern Angreifern einen sauberen Phishing-Datensatz, der weit über den Patch hinaus bestehen bleibt.
Galaxy Research hat 1.596 BTC verfolgt, die in drei bestätigten Angriffsphasen gestohlen wurden, mit einer vermuteten vierten Phase, die die Gesamtschäden auf etwa 2.000 BTC erhöhen würde.
Nach fast 1.200 Adressen und 1.000 BTC ist der Vorfall von isoliertem Phishing zu einem koordinierten Abfluss geworden und warnt Self-Custody-Nutzer vor Lieferkettenrisiken bei Hardware-Wallets.
Die drei Jahre zwischen Coldcards letzter Mk3-Firmware und dem Advisory machen ruhende Cold-Storage-Wallets zur Wartungslast. Der Worst Case ist Verwahrung mit einer Signatur und ohne Passphrase.
Der $38M-Diebstahl aus einer einzelnen kompromittierten Wallet macht den Fall zum größten bekannten Supply-Chain-Angriff auf Hardware-Wallets. Coldcard verweist Nutzer direkt auf eine zentrale Schwäche in der Firmware.
Krypto blieb bei der schärfsten Aktienerholung des Jahres außen vor: BTC hielt $64.300, obwohl ein $38M-Exploit bei Coldcard-Wallets 594 Bitcoin off-chain abzog, ohne den Kurs zu bewegen.
Die geleerten Single-Signature-Wallets waren seit Jahren inaktiv, doch der zugrunde liegende Firmware-Fehler ist seit März 2021 aktiv; auch Paper-Wallet-Schlüssel und Seed-Splitting-Masken waren exponiert.
Rund 500 Wallet-Adressen wurden in einem Muster leergeräumt, das mit einem Mk3-Firmware-Bug zusammenhängt. Die Gesamtsumme liegt über $35M, und Coinkite musste daraufhin jedes Gerät markieren, das je einen Seed auf 4.0.1 oder höher generiert hat.
Die Schwachstelle ermöglicht die Wiederherstellung privater Schlüssel aus jeder betroffenen Onchain-Signatur. EVM-Transaktionen und SDKs sind nicht betroffen, was den Schadensradius begrenzt.
CryptoSlate
TheBlock
CoinDesk
Crypto News