Coldcard-Hack: 130 Mio. Dollar aus Bitcoin-Wallets weg
Ein Firmware-Fehler von 2021 macht tausende Coldcard-Wallets angreifbar. Über 130 Millionen Dollar in Bitcoin sind weg, mindestens 15 Täter greifen zu.
Der Fehler steckt seit 2021 im Gerät
Coinkite, Hersteller der Coldcard, gilt in der Bitcoin-Szene als Goldstandard der Selbstverwahrung. Genau dieses Gerät ist jetzt das Einfallstor. Ursache ist ein Firmware-Build aus dem März 2021: Statt den Seed über den dedizierten Hardware-Zufallsgenerator zu erzeugen, schob ein Bug einen Teil des Prozesses durch einen schwachen Software-Generator. Das Ergebnis waren vorhersagbare Seeds, teils an simple Werte wie die Geräte-Seriennummer gekoppelt. Betroffen sind bestimmte Versionen der Modelle Mk2 und Mk3.
41 Minuten, 70 Millionen Dollar
Die erste Welle lief am 30. Juli: rund 594 BTC, etwa 38 Millionen Dollar. Bis zum 1. August waren es 1.082 BTC, bis zum 3. August rund 1.367 BTC aus 4.585 Adressen — knapp 89 Millionen Dollar. Galaxy Research zählt inzwischen über 2.055 BTC, mehr als 130 Millionen Dollar. Ein einzelner Abgriff spülte 70 Millionen in 41 Minuten weg. Coinkite stoppte die Auslieferung und vernichtete seine Restbestände.
Aus einem Angriff werden fünfzehn
Anfangs sah es nach einem koordinierten Täter aus. Das hat sich gedreht: Mindestens 15 unabhängige Angreifer greifen den Fehler inzwischen ab, dazu kleinere Nachahmer. Wer seine Wallet nicht migriert hat, wird abgeräumt, solange Coins auf einer verwundbaren Adresse liegen. Der Angriff ist kein Nachspiel, er läuft weiter.
Was das für den Markt heißt
Der Bitcoin-Kurs hält sich bei rund 64.000 Dollar: Der Markt liest den Vorfall als Geräteproblem, nicht als Protokollfehler. Diese Lesart ist korrekt. Die Bitcoin-Blockchain ist unberührt, angreifbar war allein die Schlüsselerzeugung eines einzelnen Herstellers. Der Schaden liegt woanders. Cold Storage galt als der sichere Hafen gegenüber Börsen und Custodians. Dieses Versprechen bekommt jetzt einen Riss. Für einen Teil der Anleger verschiebt das die Rechnung Richtung regulierter Verwahrung und ETF-Exposure, wo der private Schlüssel gar nicht erst beim Nutzer liegt. Die Hardware-Wallet-Branche trägt einen Reputationsschaden, dessen Preis der Markt noch nicht angesetzt hat.