Ein Programmierfehler in der Firmware der Hardware-Wallet Coldcard hat seit dem 30. Juli Bitcoin im Wert von umgerechnet rund 89 Millionen US-Dollar ungeschützt gemacht. Betroffen sind ausschließlich Nutzer bestimmter Coldcard-Modelle, nicht der gesamte Markt für Hardware-Wallets. Trotzdem lohnt sich für jeden mit einer Cold-Storage-Wallet ein kurzer Check, denn der Fall zeigt eine Schwachstelle, die technisch jeden Hersteller treffen könnte.
Bist du betroffen? Der Schnell-Check
Die betroffene Firma heißt Coinkite, das betroffene Produkt Coldcard. Nutzt du eines der folgenden Geräte, kannst du den Rest dieses Abschnitts überspringen: Ledger, Trezor, BitBox02, Tangem und die meisten anderen Hardware-Wallets sind von diesem konkreten Fall nicht betroffen.
Entscheidend ist einzig, auf welchem Gerät und mit welcher Firmware dein Seed ursprünglich erzeugt wurde. Das Gerät, das du heute benutzt, spielt für die Sicherheit dieses Seeds keine Rolle mehr. Hast du ihn 2022 auf einer damals aktuellen Coldcard erstellt und später auf ein neueres Gerät importiert, bleibt er verwundbar, denn der Fehler steckt in den Wörtern der Seed Phrase selbst. Ein Firmware-Update allein repariert einen bereits schwach erzeugten Seed nicht.
| Gerät | Betroffen? | Was das bedeutet |
|---|---|---|
| Coldcard Mk3, Seed erzeugt mit Firmware 4.0.1 bis 5.0.3 | Ja | Neuen Seed auf einem anderen, aktuellen Gerät erzeugen. Für die Mk3 selbst ist laut bisherigem Stand kein weiteres Update mehr geplant. |
| Coldcard Mk4, Seed erzeugt vor Firmware 5.6.0 | Ja | Auf 5.6.0 oder neuer updaten, danach trotzdem einen komplett neuen Seed erzeugen. |
| Coldcard Mk5, Seed erzeugt vor Firmware 5.6.0 | Ja | Auf 5.6.0 oder neuer updaten, danach trotzdem einen komplett neuen Seed erzeugen. |
| Coldcard Q, Seed erzeugt vor Firmware 1.5.0Q | Ja | Auf 1.5.0Q oder neuer updaten, danach trotzdem einen komplett neuen Seed erzeugen. |
| Coldcard Mk2 | Nach ersten Herstellerangaben nicht betroffen, einzelne Bitcoin-Entwickler widersprechen dem öffentlich | Im Zweifel vorsichtshalber migrieren. |
| Ledger, Trezor, BitBox02, Tangem, andere Hersteller | Nein | Kein Handlungsbedarf durch diesen konkreten Fall. |
Was bisher passiert ist
Erste Hinweise auf ein Problem gab es am 30. Juli. Ein Nutzer berichtete auf Reddit, seine Coldcard-Wallet sei leergeräumt worden, obwohl er nach eigener Aussage alles richtig gemacht hatte: Seed direkt auf dem Gerät erzeugt, nie digital gespeichert, nie irgendwo eingegeben. Kurz darauf häuften sich ähnliche Meldungen.
Am selben Tag identifizierte die Analysefirma Galaxy Research eine erste, große Welle von Abflüssen: 1.082 Bitcoin aus 1.196 Wallets, abgezogen innerhalb von 41 Minuten.
Coinkite, der Hersteller von Coldcard, bestätigte das Problem am Abend des 30. Juli und warnte zunächst nur Nutzer der Coldcard Mk3. Einen Tag später weitete das Unternehmen die Warnung auf ältere Firmware-Versionen von Mk4, Mk5 und Coldcard Q aus und veröffentlichte Notfall-Updates. Firmenchef Rodolfo Novak, in der Szene als NVK bekannt, entschuldigte sich öffentlich und übernahm die Verantwortung für den Fehler.
Der Angriff war damit nicht vorbei. Bis zum 1. August zählte Galaxy Research eine dritte Welle, diesmal kleinere Beträge aus deutlich mehr Wallets verteilt. Der Gesamtstand lag am Sonntag dem 02.August 2026 bei 1.367 Bitcoin aus 4.585 Adressen. Nach Einschätzung von Galaxy-Analyst Alex Thorn läuft der Angriff weiter. Bislang hat der Täter oder die Täterin keinen der gestohlenen Bitcoin bewegt oder verkauft, das Geld liegt unangetastet auf neuen Adressen.
Eine mögliche Spur gibt es trotzdem: Das Sicherheitsteam der Bitcoin-Wallet-Firma Block fand ein auffälliges Muster in den Transaktionen und ordnete es einem kostenpflichtigen Account bei einem bekannten Blockchain-Datendienstleister zu. Die internen Protokolle des Anbieters sollen den vermuteten Ablauf mit hoher Genauigkeit bestätigen. Ob sich daraus tatsächlich eine Identität ableiten lässt, ist offen, die Ermittlungen laufen.
Wie konnte die Coldwallet Coldcart gehackt werden?
Jede Hardware-Wallet erzeugt beim ersten Einrichten eine sogenannte Seed Phrase, eine Reihe von meist zwölf oder vierundzwanzig Wörtern, aus der sich sämtliche Zugangsschlüssel zu deinen Coins ableiten lassen. Was du dabei grundsätzlich beachten musst, erklären wir ausführlich in unserem Artikel zu Seed Phrase und Private Key.
Für den Coldcard-Fall zählt nur ein Punkt daraus: Diese Wörter müssen aus einer gewaltigen Menge an Möglichkeiten wirklich zufällig ausgewählt werden, groß genug, dass niemand sie erraten oder durchprobieren kann.
Stell dir ein Zahlenschloss vor, das mehr mögliche Kombinationen haben soll, als es Sandkörner auf der Erde gibt. Genau das soll eine gute Seed Phrase leisten. Ein Programmierfehler ließ die Coldcard-Firmware bei der Erzeugung auf eine deutlich schwächere Ersatzlösung zurückgreifen, die unter anderem die Seriennummer des Geräts und interne Zeitwerte nutzte, beides Daten, die sich eingrenzen oder teilweise sogar direkt auslesen lassen. Die eigentlich vorgesehene, deutlich zuverlässigere Zufallsquelle im Chip blieb dabei ungenutzt.
Aus dem riesigen Zahlenschloss wurde dadurch eines mit einer überschaubaren Anzahl an Kombinationen, bei manchen Coldcard-Modellen offenbar nur noch wenige Milliarden. Für einen Menschen ist das immer noch eine gewaltige Zahl an möglichen Kombinationen. Für einen Computer, der Tag und Nacht durchrechnet, ist es machbar.
Genau das hat der Angreifer nach bisherigem Kenntnisstand getan: mögliche Seeds systematisch durchgerechnet, geprüft, ob auf der dazugehörigen Adresse Bitcoin liegen, und die erfolgreichen Treffer leergeräumt. Das Gerät der Opfer musste dafür zu keinem Zeitpunkt online sein oder überhaupt angefasst werden, der gesamte Angriff lief auf dem Computer des Täters.
Der fehlerhafte Code-Abschnitt geht auf einen größeren Firmware-Umbau im März 2021 zurück. Unabhängig davon, wie genau der Fehler entstanden ist: Er blieb über 5 Jahre unentdeckt, mitten in einem der sicherheitskritischsten Teile der gesamten Software.
Was du jetzt konkret tust
- Prüfe, ob dein Seed betroffen ist. Nutzt du eines der oben genannten Geräte mit betroffener Firmware, oder weißt du nicht mehr genau, auf welchem Gerät und welcher Firmware dein Seed ursprünglich erzeugt wurde? Dann geh von Punkt 2 aus, auf Nummer sicher.
- Erzeuge einen komplett neuen Seed auf einem sauberen Gerät. Bei Mk4, Mk5 und Coldcard Q zuerst auf die aktuelle Firmware updaten, dann erst den neuen Seed erzeugen. Bei der Mk3 empfiehlt sich der Umstieg auf ein anderes, aktuelles Gerät, da Coinkite hierfür bislang kein weiteres Update angekündigt hat.
- Übertrage deine Bitcoin in mehreren Schritten. Sende zuerst einen kleinen Testbetrag an die neue Adresse, prüfe, ob er ankommt, und verschiebe erst danach den Rest. Das alte Gerät und Backup so lange aufheben, bis die komplette Übertragung bestätigt ist.
- Bleib aufmerksam, auch ohne Coldcard. Der Fall zeigt, dass die Qualität der Zufallszahl bei jeder Hardware-Wallet zählt, nicht nur bei diesem einen Hersteller. Ein Blick in unseren Artikel zu Hot- und Cold-Storage-Wallets lohnt sich, wenn du deine eigene Absicherung grundsätzlich einmal durchgehen willst.
Was das für Selbstverwahrung bedeutet
Der Vorfall hat eine Debatte neu entfacht, die es im Kryptobereich schon länger gibt: Lohnt sich Selbstverwahrung für die meisten Anleger überhaupt noch, oder sind regulierte Alternativen wie Bitcoin-ETFs inzwischen die praktikablere Wahl?
Bloomberg-ETF-Analyst Eric Balchunas sieht im Vorfall ein Argument für ETFs, die ihren Anlegern genau solche technischen Risiken abnehmen. Casa-Chef Nick Neuman widerspricht: Nach seiner Schätzung liegt selbst nach diesem Vorfall ein Vielfaches der gestohlenen Menge weiterhin sicher in Selbstverwahrung, ein einzelner fehlerhafter Hersteller sei kein Beleg gegen das Prinzip selbst. Binance-Gründer Changpeng Zhao rät unabhängig von dieser Grundsatzfrage zu etwas sehr Praktischem: Bitcoin auf mehrere Wallets verteilen, damit ein einzelner Fehler nicht gleich den gesamten Bestand gefährdet.
Beide Seiten haben einen Punkt. Ein Hardware-Wallet-Hersteller mit einem jahrelang unentdeckten Fehler widerlegt Selbstverwahrung als Prinzip nicht, genauso wenig wie ein gehackter Online-Broker gegen Aktien als Anlageform spricht. Trotzdem zeigt der Fall: Sicherheit bei Selbstverwahrung ist eine laufende Aufgabe, kein einmaliger Haken auf einer Checkliste. Wer seine Coins selbst verwahrt, vertraut am Ende immer auch der Firmware eines Herstellers, den er selbst nie geprüft hat und auch gar nicht prüfen kann.
Stand und wie es weitergeht
Dieser Artikel spiegelt den Stand vom 2. August 2026, 16:30 Uhr, wider. Galaxy Research geht davon aus, dass der Angriff weiterläuft, weitere Wellen mit neuen Opfern sind also möglich. Wir aktualisieren diesen Artikel, sobald es wesentliche neue Erkenntnisse gibt.
Dieser Artikel ist eine allgemeine Einordnung und keine individuelle Sicherheits-, Anlage- oder Rechtsberatung.