Aug 19, 2026

Coldcard Sicherheitslücke: Wie das Versagen der Zufallsgenerierung einer Hardware-Wallet zu einem massiven Bitcoin-Diebstahl führte

Coldcard, eine Hardware-Wallet, die für engagierte Bitcoin-Nutzer entwickelt wurde, unterstützt nur Bitcoin, arbeitet offline, basiert auf Open-Source-Code und wird in Canada zusammengebaut. Jedoch generierten seit März 2021 bestimmte Coldcard-Einheiten private Schlüssel für Kunden, indem sie sich auf die Seriennummer des Geräts und dessen interne Uhr verließen, anstatt auf den spezialisierten Chip, der für die Erzeugung von Zufallszahlen vorgesehen ist. Dies machte diese Schlüssel erheblich einfacher vorhersehbar.

Am July 30 entwendete ein Hacker 594 Bitcoin aus etwa 500 inaktiven Wallets innerhalb eines 25-minütigen Zeitfensters. Galaxy Research hat den umfassenderen Diebstahl mit 1,082 Bitcoin in Verbindung gebracht, die auf 1,196 Adressen verteilt waren. Bis August 2 war die Zahl auf fast 1,367 Bitcoin gestiegen, was einem Wert von etwa $88.6 Millionen entspricht.

Der Angreifer benötigte keinen physischen Zugriff auf die Wallets. Der Quellcode von Coldcard ist frei zugänglich, ebenso wie die Daten auf der Bitcoin-Blockchain. Der Angreifer investierte offenbar mehrere Wochen darauf, die potenziellen Schlüssel zu ermitteln, die die fehlerhafte Software generiert haben könnte. Diese Schlüssel konnten dann mit Bitcoin-Adressen abgeglichen werden, die Guthaben enthielten. Nach der Identifizierung der exponierten Wallets transferierte der Angreifer die Bitcoin. Der eigentliche Diebstahl dauerte nur 25 Minuten.