Coldcard-Hack: 116 Mio. $ Bitcoin-Diebstahl durch RNG-Schwachstelle

Eine Hardware-Wallet soll eigentlich der langweilige, zuverlässige Teil des Haltens von Bitcoin sein. Einstecken, einen Seed generieren, den Seed offline aufbewahren, gut schlafen. Diese Prämisse erlitt diesen Sommer einen direkten Schlag, als Coinkite, Hersteller der beliebten Coldcard-Wallet, bestätigte, dass ein Firmware-Fehler, der bis in den März 2021 zurückreicht, im Stillen Tausende von privaten Schlüsseln erratbar gemacht hatte. Angreifer entwendeten in vier separaten Wellen zwischen dem 30. Juli und dem 4. August 2026 etwa 1.816 BTC im Wert von damals rund 116 Millionen $ von mehr als 5.200 Adressen. Bis Mitte September galt der Vorfall laut dem Blockchain-Analyseunternehmen TRM Labs immer noch als der größte jemals verzeichnete Hardware-Wallet-Exploit.

Der Coldcard-Hack fällt in ein Jahr, das bereits von neunstelligen Krypto-Verlusten geprägt ist, hebt sich jedoch von den üblichen DeFi-Bridge-Exploits oder Börsen-Hacks ab. Niemand hat ein Passwort gestohlen. Niemand hat einen privaten Schlüssel per Phishing erbeutet. Die Wallets taten genau das, was den Käufern versprochen wurde: eine Seed-Phrase offline generieren, auf einem speziellen Gerät, fernab von jedem Netzwerk. Der Seed war nur einfach niemals so zufällig, wie Coinkite behauptete. Dieser Unterschied ist der Grund, warum Sicherheitsforscher, Befürworter der Selbstverwahrung und nun auch konkurrierende Wallet-Hersteller dies als eine andere Art von Warnung betrachten als eine typische Hack-Schlagzeile.