Coldcard-Hack: Über 100 Millionen Dollar in Krypto gestohlen
Veröffentlicht am: 04.08.2026 um 19:22 Uhr | Redaktion boerse-global.de
Die Sicherheitsunternehmen Trezor und Foundation haben am 4. August 2026 dringende Warnungen vor einer neuen Welle von Phishing-Angriffen herausgegeben. Auslöser ist ein schwerwiegender Sicherheitsvorfall beim Hardware-Wallet-Hersteller Coldcard, der zu massiven Verlusten an Kryptowährungen geführt hat. Kriminelle versuchen nun, die Verunsicherung der Nutzer auszunutzen, um verbleibende Guthaben durch betrügerische Software-Installationen und gefälschte Webseiten zu entwenden.
Gezielte Kampagnen mit Schadsoftware
Sicherheitsanalysten von Proofpoint dokumentierten am 4. August 2026 eine raffinierte Kampagne, bei der eine täuschend echte Kopie der offiziellen Coldcard-Webseite eingesetzt wird. Den Nutzern wird dort ein vermeintliches Hardware Audit angeboten. Statt einer Sicherheitsprüfung wird jedoch die Fernwartungssoftware ScreenConnect installiert, die den Angreifern Zugriff auf die Systeme der Opfer ermöglicht.
Parallel dazu informierte Trezor seine Kunden per E-Mail darüber, dass die eigenen Geräte nicht von der zugrunde liegenden Coldcard-Schwachstelle betroffen seien. Das Unternehmen warnte jedoch davor, Wiederherstellungsphrasen (Seeds) jemals an einem Computer oder Smartphone einzugeben. Diese dürften ausschließlich direkt am Hardware-Gerät selbst eingegeben werden. Nutzer, die in der Vergangenheit einen auf einer Coldcard generierten Seed auf ein Trezor-Gerät importiert haben, wurden aufgefordert, den Anweisungen des Herstellers Coinkite zur Migration der Mittel zu folgen.
Massive Verluste durch berechenbare Wallets
Der Umfang des Diebstahls erreicht laut aktuellen Analysen historische Dimensionen. Galaxy Research bezifferte die Verluste am 4. August 2026 auf 1.596 BTC, was beim aktuellen Bitcoin-Kurs von etwa 63.800 US-Dollar einem Wert von mehr als 100 Millionen US-Dollar entspricht. Schätzungen gehen davon aus, dass der Gesamtschaden sogar bis zu 130 Millionen US-Dollar betragen könnte. Betroffen sind demnach über 7.300 Adressen.
Wer sich mit dem Schutz digitaler Werte befasst, sollte die psychologischen Manipulationstaktiken moderner Hacker kennen. Dieser kostenlose Report zeigt, wie Sie betrügerische Angriffe und Phishing-Versuche rechtzeitig entlarven. Diese 7 psychologischen Schwachstellen nutzen Hacker gnadenlos aus
Bereits am 3. August 2026 war eine vierte Angriffswelle beobachtet worden, bei der innerhalb weniger Stunden 388,9 BTC aus bis zu 462 Opferadressen entwendet wurden. Ein besonders schwerer Vorfall ereignete sich laut Berichten am 30. Juli, als Angreifer innerhalb von nur 41 Minuten 1.082,65 BTC von 1.196 Adressen abzogen.
Technische Ursache und betroffene Modelle
Die Schwachstelle bei Coldcard-Geräten besteht offenbar bereits seit März 2021. Die Ursache liegt in einem sogenannten deterministischen Software-Fallback. Dieser führte dazu, dass die Entropie bei der Erzeugung von Sicherheitsschlüsseln auf lediglich etwa 40 Bit sank, wodurch die generierten Seeds für Angreifer berechenbar wurden.
Nach Angaben des Herstellers Coinkite sind folgende Modelle betroffen:
* Mk3 mit Firmware-Versionen ab 4.0.1
* Mk4 und Mk5 mit Firmware-Versionen vor 5.6.0
* Modell Q mit Firmware-Versionen vor 1.5.0Q
Geräte, bei denen der Seed unter Verwendung der Würfelwurf-Option (mindestens 50 Würfe) oder einer zusätzlichen BIP-39-Passphrase erstellt wurde, gelten als sicher.
Angesichts der Professionalität aktueller Cyberangriffe ist eine proaktive Abwehrstrategie für Organisationen und Verwaltungen unerlässlich. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie Sicherheitslücken in vier Schritten effektiv schließen. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen
Notwendigkeit der Migration
Obwohl Coinkite bereits gepatchte Firmware-Versionen veröffentlicht und unververkaufte Bestände vernichtet hat, betonen Experten, dass ein reines Software-Update nicht ausreicht. Da die bereits generierten Seeds unsicher bleiben, ist eine vollständige Migration der Bestände auf neue, sicher generierte Adressen unumgänglich. Der Hersteller rät Kunden dazu, die betroffenen Geräte nicht zu entsorgen, aber die Guthaben unter Einhaltung von Sicherheitsvorkehrungen, wie etwa einer Testtransaktion, auf neue Wallets zu übertragen.
Wettbewerber wie Ledger und Trezor hatten bereits am 2. August 2026 klargestellt, dass ihre Hardware-Architekturen nicht von diesem spezifischen Fehler betroffen sind. Dennoch bleibt die Wachsamkeit gegenüber den aktuellen Phishing-Kampagnen entscheidend für die Sicherheit der Anleger. Das Marktumfeld reagierte bereits am 31. Juli mit deutlichen Abflüssen aus Spot-ETFs in Höhe von 265,4 Millionen US-Dollar auf die allgemeine Unsicherheit im Sektor.
