Der Coldcard-Hack: 130 Mio. US-Dollar gestohlen, über 7.700 Wallets geleert

Der Angreifer benötigte weder physischen Zugriff noch Phishing-E-Mails oder Malware. Durch Reverse Engineering der geschwächten Entropie-Ausgabe konnten die Seed-Phrasen (12 oder 24 Wörter) der Opfer aus der Ferne rekonstruiert und Wallets geleert werden, die nie mit dem Internet verbunden waren .

Coldcard-CEO Rodolfo Novak bestätigte das Problem am 30. Juli 2026 und deutete an, dass die Schwachstelle möglicherweise mit KI-Tools entdeckt wurde, die Open-Source-Firmware in großem Maßstab auf Entropieschwächen scannen können .

Umfang & Zeitplan des Diebstahls

Der Angriff erfolgte in mehreren koordinierten Wellen:

• 30. Juli – Erste Welle: In einer 25-minütigen Aktion ab etwa 21:56 ET leerte der Angreifer rund 594 BTC (~38 Mio. USD) aus etwa 500 Wallets, wobei er zuerst die größten Guthaben anvisierte . Chainalysis fand heraus, dass allein in den ersten 10 Minuten 30 Millionen US-Dollar gestohlen wurden .
• 31. Juli – 4. August – Zweite und dritte Welle: Weitere Übernahmen trieben die Verluste auf 1.596 BTC (~100 Mio. USD+) über etwa 7.300 Adressen .
• Verdächtige vierte Welle: Galaxy Research identifizierte eine mögliche vierte Welle, die die Gesamtsumme – falls bestätigt – auf 2.055 BTC (~130 Mio. USD) erhöhen würde .

Anfang August stufte TRM Labs den Coldcard-Vorfall als den drittgrößten Krypto-Hack des Jahres 2026 ein . Galaxy Research identifizierte mindestens 15 unabhängige Angreifer, die nun um die Ausbeutung noch nicht migrierter, verwundbarer Wallets konkurrieren .

Transaktion vom 7. August: 30,185 BTC (1,94 Mio. USD)

Am 7. August 2026 transferierte ein mit dem Coldcard-Hacker verbundenes Wallet 30,185 BTC (~1,94 Mio. USD) an eine neu erstellte Adresse, wie der On-Chain-Tracker Lookonchain berichtete . Es war die erste Bewegung gestohlener Gelder seit Beginn der Exploits.

• Die Transaktion entsprach etwa 1,5 % der gesamten Beute von 2.055 BTC .
• Analysten deuteten sie als mögliche Test-Transaktion oder vorbereitenden Schritt für eine größere Auszahlung .
• Der Bitcoin-Kurs reagierte kaum und notierte zum Zeitpunkt der Transaktion bei etwa 64.152 USD .

90 % der gestohlenen Gelder bleiben unberührt

Nach der Transaktion vom 7. August verbleiben etwa 98,5 % der gestohlenen ~2.055 BTC unangetastet in den Wallets der Hacker . Dieses Muster ist typisch für professionelle Angreifer, die Monate oder Jahre warten, bevor sie versuchen, große Summen zu waschen. Forensik-Unternehmen und Börsen beobachten die Adressen genau .

Coinkites Reaktion & Firmware-Update

Coinkite handelte schnell, nachdem die Schwachstelle am 30. Juli entdeckt wurde:

• 30. Juli – Herausgabe einer dringenden Sicherheitswarnung mit öffentlicher Offenlegung des Fehlers .
• 31. Juli – Auslieferung einer notgepatchten Firmware für jedes betroffene Modell und jede Release-Spur :
  • Mk3: Version 4.2.0 oder höher
  • Mk4/Mk5 Standard: Version 5.6.0 oder höher
  • Q Standard: Version 1.5.0Q oder höher
  • Mk4/Mk5 Edge: Version 6.6.0X oder höher
  • Q Edge: Version 6.6.0QX oder höher

Wichtiger Hinweis: Die Installation der gefixten Firmware repariert keinen bereits kompromittierten Seed. Coinkite forderte alle betroffenen Nutzer auf, auf der gepatchten Firmware einen neuen Seed zu generieren und ihre Coins sofort umzuziehen . Das Unternehmen vernichtete zudem die restliche, mit der verwundbaren Firmware hergestellte Lagerware und stoppte Auslieferungen .

Betroffene Firmware-Versionen

• Höchstes Risiko: Mk3-Firmware 4.0.1 bis 4.1.9, Seeds, die ohne mindestens 50 unabhängige Würfelwürfe oder eine starke, einzigartige BIP-39-Passphrase generiert wurden
• Ebenfalls betroffen: Mk4-, Mk5- und Q-Modelle vor den oben genannten gefixten Firmware-Versionen
• Nicht betroffen: Seeds, die vor dem Zeitfenster der verwundbaren Firmware erstellt wurden; Seeds mit mindestens 50 Würfelwürfen; Seeds, die durch eine starke, einzigartige BIP-39-Passphrase geschützt sind; TAPSIGNER-, OPENDIME- und SATSCARD-Geräte (andere Codebasen); sowie Multisig-Setups mit mindestens einem nicht verwundbaren Schlüssel

Auswirkungen auf Self-Custody & die Krypto-Community

• Hardware-Wallets sind nicht unfehlbar. Der Coldcard-Vorfall hat die Annahme zerstört, dass Offline-Wallets immun gegen Fernzugriff auf Seeds sind . Der Fehler blieb über fünf Jahre unentdeckt in der Firmware.
• Seeds, die auf verwundbarer Firmware erstellt wurden, sind dauerhaft kompromittiert. Selbst nach der Installation des Fixes bleiben alte Seeds vorhersagbar . Nutzer müssen komplett neue Wallets erstellen und Gelder umziehen.
• Breite Marktverunsicherung. Glassnode berichtete, dass in der Woche nach dem Hack etwa 210.000 BTC aus Langzeit-Halter-Wallets (seit über 155 Tagen inaktiv) bewegt wurden – die größte derartige Verschiebung seit 2024 –, was auf einen breiten Vertrauensverlust unter Self-Custody-Bitcoin-Besitzern hindeutet .
• KI-gestützte Audits beschleunigen sich. Sicherheitsforscher stellten fest, dass der Angriff wahrscheinlich durch KI-Tools unterstützt wurde, die Open-Source-Firmware in großem Maßstab auf Entropieschwächen scannen können .
• ‚Ich habe alles richtig gemacht‘ reicht nicht mehr. Viele Opfer befolgten die besten Self-Custody-Praktiken und verloren trotzdem alles, was unterstreicht, dass die Firmware-Integrität die neue Grenze des Hardware-Wallet-Risikos darstellt .