Coldcard-Wallets: Hacker stehlen 100 Millionen Dollar Bitcoin
Veröffentlicht am: 09.08.2026 um 23:53 Uhr | Redaktion boerse-global.de
Der Hardware-Wallet-Hersteller Coinkite ist Ziel eines massiven Sicherheitsvorfalls geworden, bei dem Hacker kritische Schwachstellen ausgenutzt haben, um Bitcoin im Wert von über 100 Millionen US-Dollar zu entwenden. Berichten zufolge sind mehr als 7.300 Coldcard-Wallets von dem Diebstahl betroffen. Die Sicherheitslücke ermöglichte es Angreifern, private Schlüssel durch Brute-Force-Angriffe zu korrumpieren, da die zugrunde liegende Entropie der erzeugten Seeds unzureichend war.
Schadensausmaß und betroffene Nutzergruppen
Die Schätzungen über die genaue Schadenssumme variieren je nach Datenquelle leicht, bewegen sich jedoch durchweg im dreistelligen Millionenbereich. Während einige Analysen von einem Gesamtschaden von mindestens 111 Millionen US-Dollar (entsprechend 1.719 BTC) ausgehen, beziffern andere Quellen den Verlust auf ca. 116 Millionen US-Dollar aus über 4.500 Adressen oder sogar bis zu 133 Millionen US-Dollar (2.055 BTC). Der Exploit, der nach aktuellen Erkenntnissen am 30. Juli 2026 begann, betrifft nachweislich über 5.200 Adressen, von denen bereits rund 1.800 BTC abgezogen wurden.
Rekord-Schäden durch Phishing und Cyberangriffe zeigen, wie verwundbar digitale Bestände sein können. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Unternehmen und Privatpersonen sich proaktiv vor psychologischen Tricks und technischen Übergriffen schützen können. Anti-Phishing-Paket jetzt kostenlos herunterladen
Besonders auffällig ist, dass primär ruhende Wallets im Fokus der Angreifer standen. Rund 88 Prozent der betroffenen Konten waren seit über einem Jahr inaktiv. Der Medianverlust pro Opfer beläuft sich auf 1,022 BTC, wobei der bisher größte dokumentierte Einzelverlust bei 58,97 BTC liegt. Experten weisen darauf hin, dass der Diebstahl weiterhin andauert, da mehrere Hacker-Gruppen Zugriff auf die gefährdeten Wallets erlangt haben und sukzessive Gelder abziehen.
Technisches Versagen bei der Schlüsselerzeugung
Die Ursache für den massiven Kapitalverlust liegt in einer schwerwiegenden Schwachstelle in der Firmware-Architektur von Coinkite, die bereits am 1. März 2021 eingeführt wurde. Betroffen sind die Modelle Mk2 bis Q. Eine fehlerhafte Präprozessor-Anweisung führte dazu, dass der Hardware-Zufallsgenerator (TRNG) deaktiviert wurde. Stattdessen griff das System auf eine Software-Fallback-Lösung namens Yasmarang zurück, obwohl die physische Hardware für eine sichere Zufallsgenerierung vorhanden war.
Dies resultierte in einer drastisch reduzierten Entropie: Bei den Modellen Mk2 und Mk3 betrug diese lediglich etwa 40 Bit, während sie bei den neueren Modellen Mk4, Mk5 und Q bei 72 Bit lag. In der Kryptographie gelten solche Werte als unzureichend und machen die daraus generierten Seeds vorhersehbar. Dieser Fehler blieb über fünf Jahre hinweg ungeprüft.
Wer sich mit der Absicherung sensibler Daten befasst, sollte auch die grundlegende Sicherheit seiner alltäglichen Geräte nicht vernachlässigen. Dieser kostenlose Guide liefert wertvolle Tipps, wie Sie Sicherheitslücken auf dem Smartphone schließen und sich effektiv vor Datenmissbrauch schützen. Kostenlosen Sicherheits-Ratgeber jetzt sichern
Zusätzliche Brisanz erhält der Fall durch Hinweise auf eine mögliche personelle Verknüpfung. Der Entwickler James O'Beirne veröffentlichte Beweise, die den Coinkite-CTO Peter Gray mit der fehlerhaften RNG-Bibliothek „libngu“ in Verbindung bringen sollen. Laut den Untersuchungen weisen 58 Commits, die unter einem Pseudonym getätigt wurden, denselben GPG-Schlüssel wie jener des CTOs auf. O'Beirne hatte bereits im Mai 2025 vor entsprechenden Risiken gewarnt, diese Hinweise wurden jedoch laut vorliegenden Informationen ignoriert.
Reaktion des Herstellers und Marktlage
Coinkite hat auf den Vorfall reagiert und ein Firmware-Update bereitgestellt, um die Schwachstelle zu schließen. Zudem wurde der Versand von Neugeräten vorerst gestoppt. Zur weiteren rechtlichen Prüfung hat das Unternehmen zudem die automatische Datenlöschung (Data-Blanking) pausiert. Während Coinkite den Fehler bei der Entropie-Erzeugung bestätigte, gab es bislang keine Stellungnahme zu den Vorwürfen bezüglich der Identitätsverknüpfungen in der Softwareentwicklung.
Trotz der massiven Verluste innerhalb des Coinkite-Ökosystems zeigte sich der Bitcoin-Market weitgehend unbeeindruckt. Der Kurs der Kryptowährung notierte am 9. August 2026 stabil in einer Spanne zwischen ca. 64.800 und 64.900 US-Dollar. Da es sich um einen spezifischen Fehler in der Hardware-Implementierung eines einzelnen Herstellers handelt und nicht um eine Schwachstelle im Bitcoin-Protokoll selbst, blieb eine breite Marktreaktion aus. Nutzer der betroffenen Coldcard-Modelle werden dringend aufgefordert, die Firmware zu aktualisieren und ihre Bestände auf neue, sicher generierte Adressen zu transferieren.
