Angreifer zieht 116 Mio. US-Dollar in Bitcoin von Coldcard-Adressen ab

Kernaussage: Ein Angreifer hat seit dem 30. Juli rund 1.816 Bitcoin – umgerechnet etwa 116 Mio. US-Dollar – von mehr als 5.200 Adressen abgezogen, die auf Coldcard-Geräten erzeugt wurden. Galaxy Research ermittelte den größten Einzelabzug: 1.082 Bitcoin aus 1.196 Wallets innerhalb von 41 Minuten. Hintergrund: Die Coldcard-Firmware-Version 4.0.0, ausgeliefert im März 2021, enthielt eine Build-Einstellung, durch die das Gerät seinen dedizierten Hardware-Chip für Zufallszahlen übersprang. Coinkite-CEO Rodolfo Novak rief Nutzer, die Seeds mit Coldcard-Wallets generiert haben, dazu auf, ihre Bestände anhand aktualisierter Best Practices auf neue Seeds zu migrieren. Nicht betroffen seien Nutzer, die Seeds mit mindestens 50 privaten Würfelwürfen erzeugt oder eine starke Passphrase verwendet haben. Warum das wichtig ist: Ein Entropie-Fehler bei der Seed-Erzeugung kann Offline-Self-Custody in eine unbemerkte Schlüssel-Exponierung verwandeln und das Vertrauen in die Sicherheit von Hardware-Wallets belasten. Marktstimmung: Vorsichtig bearish, stressgetrieben, technisch geprägt, De-Risking. Begründung: Der gemeldete Abzug von Coldcard-generierten Adressen dürfte das Vertrauen in die Sicherheit von Self-Custody-Hardware schwächen. Ähnliche Fälle: Trust Wallet schloss laut The Block eine WebAssembly-Schwachstelle in seiner Browser-Erweiterung, nachdem der Fehler zu Verlusten von 170.000 US-Dollar bei Nutzern geführt hatte. Der Fall zeigte, dass schwache Seed-Generierung Wallets auch ohne Phishing oder Gerätediebstahl angreifbar machen kann. Der wesentliche Unterschied: Bei Trust Wallet ging es um Software in einer Browser-Extension, beim aktuellen Ereignis um die Seed-Generierung einer Coldcard-Hardware-Wallet. Folgewirkungen: Zweifel an der Entropie können Nutzer von Single-Device-Verwahrung weg und hin zu Systemen mit mehr operativen Kontrollen bewegen. Die Nachfrage nach Verwahrungslösungen könnte steigen, wenn große Halter zu dem Schluss kommen, dass Hardware-Isolation allein versteckte Implementierungsrisiken nicht ausreichend kontrolliert. Sollte Coinkite eine technische Analyse und konkrete Migrationshinweise veröffentlichen, dürfte die Eindämmung davon abhängen, wie schnell Nutzer potenziell verwundbare Seeds rotieren. Chancen und Risiken: Chancen: Mit einer veröffentlichten technischen Analyse kann eine klare Eingrenzung der Fehlerursache als Signal zur Vertrauensreparatur für Hardware-Wallet-Nutzer wirken. Fällt die Migrationsanleitung eng und präzise aus, könnten Self-Custody-Anbieter mit stärkeren Entropie-Kontrollen zusätzliches Vertrauen gewinnen. Risiken: Kommt es zu weiteren Abzugswellen aus Coldcard-generierten Adressen, kann die Reduktion von Single-Device-Exponierung operative Schäden begrenzen. Sollte die technische Analyse eine breitere Betroffenheit bei der Seed-Erzeugung nahelegen, könnte das Verwahrungsrisiko für betroffene Nutzer länger erhöht bleiben.