Firmware-Fehler bei Coldcard: Bitcoin-Verluste von bis zu 130 Mio. US-Dollar nachverfolgt

Das Bitcoin-Engineering- und Security-Team von Block sowie unabhängige Bitcoin-Core-Entwickler führen die jüngsten Verluste bei Coinkite-Coldcard-Wallets auf einen konkreten Firmware-Defekt zurück. Der Fehler legte eine Schwachstelle in der Bitcoin-Selbstverwahrung offen, die bereits bei der Seed-Erzeugung wirkte – noch bevor Nutzer ihre Wiederherstellungswörter überhaupt notierten. Konkret soll die Firmware die Zufallszahlenerzeugung des Geräts von der STM32-Hardwarequelle auf einen deterministischen Fallback in MicroPython (Yasmarang) umgeleitet haben. Betroffen waren vor allem Mk2- und Mk3-Geräte mit Firmware 4.0.1 bis 4.1.9: Die erzeugten Seeds verloren dabei ihre kryptografische Zufälligkeit und fielen auf einen kleinen, durchsuchbaren Wertebereich zurück. Bei den Modellen Mk4, Q und Mk5 sei die Auswirkung geringer gewesen, die Seeds hätten aber nur rund 72 Bit Entropie erreicht – deutlich unter den im Design vorgesehenen 128 Bit. Warum schwache Seeds die Selbstverwahrung aushebeln Selbst wenn Nutzer zwölf oder vierundzwanzig Wörter aufschrieben, sicher verwahrten und das Gerät jahrelang offline ließen, konnte ein Angreifer den Schlüssel rekonstruieren, indem er den engen Ausgaberaum des Fallback-Generators durchsucht. Eine Firmware-Aktualisierung schützt nur Seeds, die nach Installation des Updates neu erzeugt werden. Seeds, die bereits über den fehlerhaften Pfad entstanden sind, müssen vollständig ersetzt werden. Coinkite empfiehlt betroffenen Nutzern, einen neuen Seed zu erstellen und die Bestände umzuziehen. Das Importieren der alten Recovery-Phrase in eine Wallet eines anderen Herstellers behebt das Problem nicht: Die Schwäche liegt im Ursprung des Seeds und "reist" mit den Wiederherstellungswörtern mit. Für einen Teil der betroffenen Nutzer stand der begrenzte Suchraum bereits in dem Moment fest, in dem das Gerät den Schlüssel generierte – Monate oder Jahre bevor überhaupt Einzahlungen erfolgten. Sorgfältige Aufbewahrung der Phrase konnte die zu geringe Entropie nachträglich nicht kompensieren. Öffentlicher Code, reproduzierbare Builds – und doch blieb der Fehler jahrelang unentdeckt Coldcard gilt als Hardware-Wallet mit Sicherheitsmerkmalen, die gängige Guides empfehlen: Bitcoin-only-Firmware, Air-Gap-Signing, zwei Secure Elements, veröffentlichter Quellcode sowie reproduzierbare Builds. Ein Nachbau der veröffentlichten Firmware und der Abgleich mit dem ausgelieferten Binary bestätigten, dass der ausgeführte Code dem publizierten Code entspricht. Diese Übereinstimmung belegt die Integrität der Distribution, nicht jedoch, dass die zugrunde liegende Seed-Logik korrekt auditiert wurde. Nach Angaben von Coinkite wurde der verwundbare Pfad in Firmware-Versionen ausgeliefert, die ab 2021 veröffentlicht wurden, und blieb bis zur Offenlegung im Juli dieses Jahres im Feld – ein Zeitraum von fünf Jahren, in dem der Quellcode öffentlich war und die Schwachstelle dennoch unentdeckt blieb. Coinkites technische Notizen verweisen darauf, dass frühere Reviews zwar das Vorhandensein des korrekten Hardware-Zufallsgenerators im Firmware-Binary bestätigten, aber nicht prüften, ob die Seed-Erzeugung ihn tatsächlich erreicht. Wer besser geschützt war – und warum Coinkite trotzdem zur Migration rät Nutzer, die eine starke, einzigartige BIP39-Passphrase zusätzlich zum Mnemonic verwendeten, waren gegen eine reine Seed-Rekonstruktion widerstandsfähiger. BIP39 leitet den Wallet-Seed aus Mnemonic plus Salt ab, das die Passphrase enthält; eine andere Passphrase erzeugt ein anderes Wallet, selbst bei identischen Wörtern. Diese Passphrase ist nicht mit der Geräte-PIN zu verwechseln: Die PIN entsperrt die Hardware, die Passphrase wirkt an der Schlüsselerzeugung mit. Dennoch empfahl Coinkite auch diesen Nutzern die Migration. Eine zweite Gruppe, die Coinkite von dieser konkreten Schwachstelle ausnimmt, sind Nutzer, die ihren Seed mit mindestens 50 fairen, unabhängigen, privaten Würfelwürfen zusätzlich entropisch angereichert haben. Externe Entropie nimmt dem defekten Gerätegenerator die Rolle als alleinige Zufallsquelle. Xapo-Bank-CISO Andrew Mannoukas fasste die Erkenntnis gegenüber CryptoSlate so zusammen: „Die Lehre aus diesem Vorfall ist nicht, dass Hardware-Wallets schlecht sind, sondern dass Konzentration schlecht ist. Wenn die Sicherheit Ihrer Bitcoins auf ein einziges Geheimnis reduziert wird, das auf einem einzigen Gerät in einem einmaligen Moment erzeugt wurde, übernehmen Sie jede Annahme, die in diesem Moment steckt.“ Er ergänzte, dass Branchendaten seit Jahren zeigen, dass der Großteil der Verluste inzwischen aus Key-Management und operativen Fehlern stammt. Multisig ist kein Allheilmittel, wenn die Schlüssel nicht wirklich unabhängig sind Oft wird Multisig als einfache Lösung genannt: Ein 2-of-3-Setup verhindert, dass ein einzelner kompromittierter Schlüssel allein Mittel bewegen kann. Entscheidend ist, dass die Schlüssel aus unabhängigen Implementierungen stammen. Drei Schlüssel, die denselben fehlerhaften Zufallszahlpfad teilen, fallen in dieselbe Failure Domain. Coldcards Dokumentation erlaubt zudem, mehrere Cosigner auf einem einzigen Gerät über unterschiedliche Passphrases zu erzeugen – formal unterschiedliche Keys, die dennoch auf dieselbe Implementierung und denselben Ursprung zurückgehen können. Die praktische Prüffrage lautet damit weniger „Multisig oder nicht“, sondern: Wer hat jeden Schlüssel erzeugt, mit welcher Implementierung, und aus welcher Zufallsquelle? Ledger als Gegenbild: Die Sicherheitsgrenze wird durch Software definiert Zum Vergleich: Ledgers optionaler Recover-Service lässt das Secure Element die Wallet-Entropie duplizieren und verschlüsseln, das Ergebnis in drei verschlüsselte Fragmente teilen und an separate Backup-Anbieter senden. Dafür sind Abo und physische Bestätigung am Gerät nötig. Bei Ledger liegt das Boundary-Problem darin, Geheimnisse unter definierten, nutzerbestätigten Bedingungen aus dem Gerät herauszubewegen. Bei Coinkite lag das Problem weiter „upstream“: Die Firmware schwächte das Geheimnis, bevor die Grenze des Geräts überhaupt relevant wurde. In beiden Fällen bestimmt die Software des Herstellers, wo die reale Sicherheitsgrenze der Selbstverwahrung verläuft – unabhängig vom Marketing der Hardware. Ausmaß der Abflüsse und unsichere Attribution Erste Sweeps zogen laut Bericht rund 594 BTC aus etwa 500 Wallets ab. Onchain-Analysten ordneten später mindestens drei vermutete Wellen der Schwachstelle zu: insgesamt knapp 1.367 BTC über mehr als 4.500 Adressen, zum damaligen Zeitpunkt rund 89 Mio. US-Dollar. Berichte vom 3. Aug. erwähnten eine mögliche vierte Welle, die die Summe in Richtung 114 Mio. US-Dollar treiben könnte. Galaxy Digitals Alex Thorn warnte, dass Blockchain-Muster allein die Zuordnung mancher gesweepter Adressen zu verwundbarer Coldcard-Firmware nicht eindeutig belegen; die Attribution bleibe vorläufig, während die Gesamtsumme weiter steige. Ein Update vom 4. Aug. von Lookonchain, unter Verweis auf Galaxy Research, schätzte die coldcardbezogenen Verluste auf bis zu 2.055 BTC, rund 130 Mio. US-Dollar, über mehr als 7.700 betroffene Adressen. Operative Angriffe dominieren TRM Labs berichtete, dass Infrastruktur- und operative Kompromittierungen, vor allem Diebstahl von Private Keys und Seed Phrases, in der ersten Hälfte 2026 rund 76% des gestohlenen Werts bei Krypto-Hacks ausmachten, aber nur etwa 15% der Vorfälle. CertiK zählte Wallet-Kompromittierungen im selben Zeitraum als teuerste Angriffskategorie: über 444 Mio. US-Dollar in 33 Fällen. Für Angreifer ist es profitabler geworden, Systeme und Prozesse rund um Schlüssel anzugreifen als die Kryptografie selbst. Reaktion von Coinkite und Haftungsfrage Coinkite-Gründer Rodolfo Novak entschuldigte sich öffentlich, übernahm die volle Verantwortung und bot Unterstützung bei Polizeiberichten, Versicherungsfällen und Blockchain-Untersuchungen an. Eine Erstattung gehörte laut Stand 3. Aug. nicht zu den genannten Maßnahmen. Während Börsen Verluste teils über Reserven, Versicherungen oder ihre Bilanz abfedern können, verkauft ein Hardware-Wallet-Hersteller in der Regel ein Produkt und überlässt die Verwahrung dem Nutzer. Damit bleibt die Verantwortung für Produktfehler häufig ungeklärt zwischen Nutzer und Hersteller. Wie es weitergehen könnte: Standards, Panikmigrationen, neue Risiken Im positiven Szenario gelingt die Migration schneller als neue Angriffswellen entstehen. Wallet-Hersteller reagieren mit Entropie-Attestierungen, Tests der Seed-Erzeugung und besserer Software für Notfall-Key-Rotation. Passphrases, externe Würfel-Entropie und sauber diversifiziertes Multisig würden von „Advanced Tips“ zu Standardempfehlungen, und die Branche würde das Ereignis als Moment werten, in dem Selbstverwahrungs-Standards zur Selbstverwahrungs-Werbung aufschließen. Im negativen Szenario finden Forscher weitere Weak-Seed-Pfade in anderen Modellen oder Setup-Routinen. Vertrauen könnte schneller erodieren, als Hersteller patchen können. Zudem können hektische Migrationen eigene Schäden erzeugen: Adress-Reuse, überstürzte Transfers und eine neue Welle von Support-Scams, die Nutzer beim Umzug der Mittel ins Visier nehmen. Selbstverwahrung entzieht einer Börse die Möglichkeit, Auszahlungen einzufrieren, Guthaben zu rehypothezieren oder mit Kundengeldern in die Insolvenz zu rutschen. Eine Abhängigkeit bleibt dennoch: der Hersteller, dessen Gerät aus Zufall einen Schlüssel macht. Ein einzelner Seed, der in einem einmaligen Moment auf der Hardware eines Unternehmens entsteht, wird erst dann zur belastbaren Souveränität, wenn eine zweite, unabhängige Annahme dahintersteht. Der Beitrag "Post-Coldcard-Krise erreicht 130 Mio. US-Dollar – und zeigt, warum „Not your keys“ wertlos ist, wenn ein einziges Gerät sie erzeugt“ erschien zuerst auf CryptoSlate.