Coldcard: So funktionierte der Angriff auf 500 Wallets

Am Freitag wurden 500 einzelne Wallets angegriffen und geplündert. Sie enthielten zusammen 584 Bitcoin, im Wert von rund 38 Millionen US-Dollar (umgerechnet etwa 363 Crore Rupien). Der Angriff lässt sich auf einen Fehler zurückführen. Dieser betraf, wie Coldcard-Hardware-Wallets ihre Schlüssel erzeugten. 1.324 BTC-Bruchstücke wurden über 500 Transaktionen bewegt, innerhalb eines Zeitfensters von nur drei Blöcken. Als Reaktion darauf wurden 562 Bitcoin in einer einzigen Adresse gesammelt, die seither nicht mehr bewegt wurde. Alle geleerten Wallets waren Single-Signature-Wallets mit mehr als 0,15 BTC.

Forscher führen den Angriff auf eine Schwäche bei der Coldcard-Schlüsselgenerierung zurück

Dieser Angriff reiht sich in die wachsende Zahl an Krypto-Verlusten im Jahr 2026 ein. Coldcard ist eine Hardware-Wallet des kanadischen Unternehmens Coinkite. Es handelt sich um ein kleines, eigenständiges Gerät, das Bitcoin-Schlüssel offline speichert, getrennt von internetfähigen Geräten. Mk2, Mk3, Mk4, Q und Mk5 sind aufeinanderfolgende Generationen dieses Produkts, die über mehrere Jahre veröffentlicht wurden, ähnlich wie durchnummerierte Modelle eines Smartphone-Herstellers. Wie stark ein Gerät betroffen ist, hängt davon ab, welche Firmware-Version installiert war, als die Wallet ursprünglich erstellt wurde.

Jede Wallet besitzt eine Seed-Phrase. Das ist ein geheimer Satz, der die Kontrolle über das Guthaben ermöglicht. Diese Sätze sollen aus einem riesigen Pool an Möglichkeiten rein zufällig gezogen werden, sodass ein Erraten praktisch unmöglich ist. Doch Coldcards Firmware tat das nicht. Laut einem Bericht der Bitcoin-Engineering- und Sicherheitsteams von Block sorgte eine bestimmte Build-Kennzeichnung dafür, dass das Gerät seinen eigenen Hardware-Zufallsgenerator ignorierte. Die Überprüfung innerhalb eines Bibliotheksmoduls kontrollierte dabei nur, ob diese Kennzeichnung existierte, nicht aber ihren tatsächlichen Status. Die Schlüsselgenerierung fiel dadurch unbemerkt auf einen einfachen Software-Algorithmus zurück. Dieser basierte auf der Seriennummer sowie den Zeitzählern des Chips.

Coinkite informierte in diesem Zusammenhang Nutzer, die ihre Seed-Phrase mit einem Mk3-Gerät ab Firmware-Version 4.0.1 erstellt hatten. Laut dem Unternehmen sind „Mk4, Q und Mk5 nach unserer bisherigen Analyse nicht betroffen". Laut Block informierte das Unternehmen Coinkite über seine Erkenntnisse, und das Coinkite-Team bestätigte diese. Die Analysen beider Unternehmen gelten bislang als vorläufig. Block erklärte, seine Erkenntnisse veröffentlicht zu haben, ohne die tatsächliche Ausnutzbarkeit der Schwachstelle vollständig bestätigt zu haben, die zu diesem Zeitpunkt bereits ausgenutzt worden war.

Das Problem betrifft mehr als nur die Wallet-Seeds. Der fehlerhafte Generator wurde auch verwendet, um die privaten Schlüssel für Coldcards Papier-Wallets zu erzeugen. Dort wird die Ausgabe direkt als Schlüssel übernommen, ohne weitere Ableitung. Betroffen sind zudem Seed-Splitting-Masken, Klon-Schlüssel sowie Key-Teleport-Übertragungen.

Berichte der On-Chain-Sicherheitsplattform Blockaid zeigen, dass die Krypto-Verluste in der ersten Jahreshälfte 2026 bereits die Marke von 1 Milliarde US-Dollar (umgerechnet rund 9.547 Crore Rupien) erreicht haben. Damit verzeichnete die Branche die höchste Zahl an Hacks innerhalb von sechs Monaten. Die beiden Blockchain-Netzwerke Ethereum und Solana waren am stärksten von Angriffen betroffen. Während bei Ethereum ausgenutzte Programmierfehler die Ursache waren, gingen die Verluste bei Solana auf Sicherheitslücken bei Schlüsseln und der Signatur-Infrastruktur zurück.

Kryptowährungen sind nicht reguliert, gelten nicht als gesetzliches Zahlungsmittel und unterliegen Marktrisiken. Die in diesem Artikel bereitgestellten Informationen stellen keine Finanz- oder Handelsberatung dar und sind nicht als solche zu verstehen. NDTV übernimmt keine Verantwortung für Verluste, die aus Investitionsentscheidungen auf Grundlage vermeintlicher Empfehlungen, Prognosen oder anderer im Artikel enthaltener Informationen entstehen.

Holen Sie sich Ihre tägliche Dosis an Technik-News, Testberichten und Einblicken in unter 80 Zeichen auf Gadgets 360 Turbo. Tauschen Sie sich mit anderen Technik-Fans in unserem Forum aus. Folgen Sie uns auf X, Facebook, WhatsApp, Threads und Google News für sofortige Updates. Verpassen Sie nichts auf unserem YouTube-Kanal.