Coldcard-Lücke: 594 Bitcoin in 25 Minuten aus 500 Wallets abgezogen

Zwischen 01:31 und 01:56 UTC verließen am vergangenen Freitag 594 Bitcoin rund 500 Hardware-Wallets. Das sind etwa 38 Millionen Dollar (rund 33,3 Millionen Euro) in fünfundzwanzig Minuten. Die Ursache war weder Phishing noch ein gestohlenes Gerät, sondern eine Build-Einstellung in der Firmware einer der meistempfohlenen Hardware-Wallets der Bitcoin-Szene.

Was genau geschehen ist

Betroffen sind Coldcards des Modells Mk3 mit Firmware 4.0.1 oder neuer. Der Fehler gelangte mit Version 4.0.0 in den Code, veröffentlicht im März 2021. Fünf Jahre lang ist er niemandem aufgefallen.

Die Analyse stammt von den Bitcoin-Engineering- und Security-Teams von Block. Coinkite, der Hersteller der Coldcard, hat seine Nutzer gewarnt. Ungewöhnlich an dem Angriff ist, dass er ohne jeden physischen Zugriff auf ein Gerät auskam: Alles geschah von der Blockchain aus, durch Rechenarbeit.

Der Fehler steckt im Zufall

Eine Hardware-Wallet ist im Kern eine Maschine, die eine einzige geheime Zahl erzeugt. Diese Zahl ist Ihr privater Schlüssel. Die gesamte Sicherheit hängt daran, ob sie wirklich unvorhersehbar ist. Deshalb steckt in jeder ernst zu nehmenden Hardware-Wallet ein physischer Zufallsgenerator, ein Chip, der Rauschen aus der realen Welt in Bits verwandelt.

Wegen eines falsch gesetzten Build-Flags übersprang die Coldcard Mk3 diesen Chip. Stattdessen fiel das Gerät auf einen Softwaregenerator zurück, gespeist aus zwei Werten: der Seriennummer des Chips und dem Stand seiner Taktregister. Keiner von beiden ist geheim. Eine Seriennummer liegt fest, und der Taktstand im Moment der Erzeugung bewegt sich in einem engen Bereich. Damit schrumpft der Raum möglicher Schlüssel von astronomisch groß auf etwas, das ein Angreifer schlicht durchgehen kann.

Ist dieser Gedanke einmal gefasst, ist der Rest Buchhaltung. Kandidatenschlüssel erzeugen, daraus die Adressen ableiten, auf der Blockchain nachsehen, welche Adressen Guthaben halten, und die Transaktionen signieren.

Welche Geräte betroffen sind und welche nicht

Verwundbar ist allein die Mk3, und das nur mit Firmware 4.0.1 oder neuer. Mk4, Q und Mk5 laufen mit anderer Firmware und sind nicht betroffen.

Ein Detail wird dabei leicht falsch verstanden. Entscheidend ist nicht, welche Firmware heute auf Ihrem Gerät liegt, und auch nicht, wann Sie es gekauft haben. Entscheidend ist, welche Firmware lief, als Ihre Wallet erzeugt wurde. Ein schwacher Schlüssel bleibt schwach, auch nach dem Update. Das Update repariert den Generator, nicht den Schlüssel, den er zuvor ausgegeben hat.

Ebenfalls wichtig: Es ging um Single-Signature-Wallets. Multisig-Aufbauten, in denen die Coldcard nur einen der Schlüssel hält, lassen sich auf diesem Weg nicht automatisch leeren, weil der Angreifer auch die übrigen Schlüssel bräuchte.

Fünfundzwanzig Minuten, 500 Transaktionen

Die Ausführung war sichtbar vorbereitet. In fünfundzwanzig Minuten liefen rund 500 Transaktionen über das Netz und holten die Beute in 1.324 Stücken ab. Anschließend wurden 562 der 594 Bitcoin auf einer einzigen Adresse zusammengeführt.

Diese Zeitachse sagt etwas aus. Die Rechenarbeit zum Auffinden der Schlüssel war längst erledigt; was man auf der Blockchain sieht, ist nur die Ernte. Wer eine solche Operation in einer halben Stunde abschließt, hat die Ziele vorab kartiert und gewartet, bis alles bereitstand.

Warum Hardware-Wallets daran nicht scheitern

Es liegt nahe, daraus zu schließen, eine Hardware-Wallet nütze nichts. Das ist die falsche Lehre. Das Modell hat gehalten: Der Schlüssel hat das Gerät nie verlassen, die PIN hat ihre Arbeit getan, gephisht wurde nichts. Versagt hat eine Einstellung im Build-Prozess, genau die Art Fehler, die Open Source und externe Analyse abfangen sollen, und die hier auch von einem externen Team gefunden wurde.

Die eigentliche Lehre lautet: Einem Gerät zu vertrauen heißt immer, einer Produktionskette zu vertrauen. Firmware, Build-Umgebung und Zufall gehören zum Produkt, auch wenn Sie sie nie sehen. Das spricht für Geräte, deren Firmware reproduzierbar gebaut werden kann und deren Code von mehr als einer Partei gelesen wird.

Was das für Sie bedeutet

Besitzen Sie eine Coldcard Mk3 und wurde Ihre Wallet unter Firmware 4.0.1 oder neuer erzeugt, gehen Sie davon aus, dass der Schlüssel schwach ist, und verschieben Sie Ihre Bitcoin. Nicht auf eine neue Adresse desselben Seeds, denn die leitet sich aus demselben schwachen Schlüssel ab, sondern in eine Wallet mit einem vollständig neuen, auf einem einwandfreien Gerät erzeugten Seed.

Wissen Sie nicht mehr, welche Firmware damals lief, behandeln Sie das Gerät als kompromittiert. Die Alternative besteht darin, gut zu raten, mit dem eigenen Geld als Einsatz.

Nutzen Sie eine Mk4, eine Q oder eine Mk5, ist nichts zu tun. Steckt Ihre Coldcard in einem Multisig-Aufbau, ist die Dringlichkeit geringer, tauschen Sie den betreffenden Schlüssel aber dennoch beim nächsten geplanten Wechsel aus.

Und allgemeiner: Dies ist ein guter Moment, um zu prüfen, ob Ihre Wiederherstellungsphrase an einem Ort liegt, an dem Sie sie finden und sonst niemand. Der Angriff der vergangenen Woche funktionierte, weil Schlüssel vorhersehbar waren. Die meisten anderen funktionieren, weil Menschen ihre Wiederherstellungsphrase fotografieren.

Quellen: CoinDesk, Coinkite, Block, FinanceFeeds, Crypto Economy, Cybernews. Zuletzt geprüft: 1. August 2026.