LONDON (IT BOLTWISE) – Angreifer haben eine Sicherheitslücke in Coldcard-Hardware-Wallets ausgenutzt und damit offenbar Seed-Phrasen vorhersehbar gemacht. Dadurch konnten sie Schlüssel systematisch berechnen und Gelder aus tausenden Wallets abziehen. Coinkite stellt dafür inzwischen korrigierte Firmware-Versionen bereit. Die Vorfälle unterstreichen, dass Selbstverwahrung das Risiko nicht eliminiert, sondern nur verlagert.
Die Vorstellung, dass eine „Cold“-Hardware-Wallet im Grunde offline und damit praktisch uneinnehmbar ist, bekommt mit dem aktuellen Vorfall einen harten Dämpfer. Laut Meldungen, die sich auf Untersuchungen und Auswertungen mehrerer Stellen stützen, hat ein Angriff eine Software-Schwäche in einem weit verbreiteten Wallet-Typ ausgenutzt, der gerade dafür gedacht ist, Bitcoin-Schlüssel von der Internetverbindung fernzuhalten. Der Kern des Problems lag nicht in einem typischen Netzwerkangriff, sondern in der Art und Weise, wie das Gerät die Seed-Phrase für den Wallet-Zugang erzeugte.
Die betroffene Produktlinie sind die Coldcard-Geräte des Unternehmens Coinkite. Nachdem Coinkite Canada-basierte Nutzer über eine Sicherheitslücke informiert hatte, die die Schlüssel schützt, deren Zusammensetzung später zur Kontrolle von Bitcoin genutzt wird, meldeten weitere Analysen, dass bis zum 3. August rund 1.367 der betreffenden Token im Wert von etwa 86 Millionen US-Dollar aus mehr als 4.500 Wallets abgezogen wurden. Dass das Ausmaß so schnell sichtbar wird, passt zu einem Muster: Wenn aus einer Seed-Phrase tatsächlich berechenbare Werte werden, lässt sich ein Angriff im Zeitverlauf nicht nur wiederholen, sondern auch gezielt skalieren.
Technisch betrachtet ist die Seed-Phrase die „Master-Zugangs“-Komponente: Sie besteht aus einer langen Wortfolge, die den Zugriff auf die zugehörigen privaten Schlüssel ermöglicht. In der Analyse eines Engineering-Teams eines Blockchain-Unternehmens hieß es, dass die Seed-Phrase bei betroffenen Firmware-Varianten vorhersehbar war. Dafür wird als Ursache unter anderem die Implementierung des Zufallszahlengenerators (Random-Number-Generator, RNG) genannt: Es gab offenbar einen Fallback-Mechanismus, der anstelle wirklich zufälliger Entropie deterministische Werte heranzog. Als Beispiele werden dabei u. a. Geräte-Seriennummern erwähnt. Damit verschiebt sich der Sicherheitsanker von „echter Zufälligkeit“ hin zu „wiederholbaren Mustern“ – und genau diese Rückkopplung macht eine Offline-Umgebung angreifbar.
Ein CEO einer auf Cybersicherheit spezialisierten Firma bringt das in seiner Bewertung auf den Punkt: Die Sicherheitsannahme „offline“ sei nicht automatisch gleichbedeutend mit Kryptosicherheit, wenn die mathematische Grundlage zur Passwortgenerierung fehlerhaft oder rückrechenbar ist. Der Ansatz des Geräts wirkt dann wie ein Generator, der zwar die Ausgaben formatiert, aber auf einer fehlerhaften Quelle für die zugrunde liegende Zufallsinformation basiert. In der Praxis heißt das: Angreifer können aus den deterministischen Inputs die Seed-Phrasen systematisch rekalkulieren, daraus die korrespondierenden Schlüssel ableiten und anschließend Überweisungen aus betroffenen Wallets durchführen – ohne dass sie dafür zwingend das Gerät selbst während der Nutzung kompromittieren müssen.
Für Betroffene ist das besonders belastend, weil der Sicherheitsgewinn von Cold Wallets meist genau an dieser Offline-Grenze festgemacht wird. Im konkreten Fall schilderte ein Nutzer Jonathan Goodman, er habe zunächst nicht geglaubt, betroffen zu sein, habe aber seine Wallets dennoch geprüft. In seinem Bericht wird beschrieben, dass beim Laden der Wallet-Ansicht rote Markierungen für Abhebungen sichtbar gewesen seien und dass zwischen 21:36 und 21:43 Uhr am 29. Juli alle drei Wallets vollständig ausgezahlt wurden. Solche Beobachtungen sind weniger „Mystik“ als ein konkreter Indikator: Sobald die Angriffslogik in den Wallet-Daten greift, zeigt sich das für Endanwender in der Transaktionshistorie sehr schnell.
Wie sich das in die größere Sicherheitslage einordnet, liefern auch makroskopische Auswertungen zum Krypto-Hacking. Für 2026 bis dato zeigen Berichte, dass das gestohlene Volumen gegenüber dem Vorjahr rückläufig sei: Bis zur ersten Jahreshälfte werden Verluste von 972 Millionen US-Dollar genannt, während im ersten Halbjahr 2025 insgesamt 2,3 Milliarden US-Dollar gestohlen worden sein sollen. Gleichzeitig steigt die Anzahl der Vorfälle weiter: In einem Sechs-Monats-Zeitraum wurden demnach 207 Hacks verzeichnet, der höchste Wert in dieser Zeitspanne. Aus der Policy-Perspektive einer Kryptoforschungs- und Analyseorganisation heißt es dabei, dass Infrastruktur- und Schlüsselkompromittierungen rund 15 Prozent der Vorfälle ausmachen, aber 76 Prozent der Verluste verursachen – ein Hinweis darauf, dass die größten Schäden meist nicht durch „Zufall“ entstehen, sondern durch systemische Angriffsflächen.
Coinkite hat den Vorfall inzwischen adressiert und laut eigener Erklärung Fixed Firmware für jede betroffene Modell- und Release-Variante bereitgestellt. Wichtig ist dabei die Formulierung „funds controlled by seeds generated on affected firmware are at risk“: Das bedeutet nicht nur, dass künftige Wallet-Erzeugungen sicherer werden, sondern dass bereits erzeugte Seed-Phrasen als potenziell gefährdet betrachtet werden müssen. Für Unternehmen und technische Teams in der Krypto-Operations-Praxis folgt daraus eine klare Priorität: Selbstverwahrung bleibt ein valider Ansatz, aber sie muss als Prozess verstanden werden – mit nachvollziehbaren Firmware-Standards, strikter Geräteverwaltung und einer Risikoannahme für Schlüsselmaterial, das aus fehlerhafter Entropie entstanden ist.
Für die nächsten Wochen dürfte vor allem die Frage zählen, wie schnell Nutzer tatsächlich umstellen und ob Wallet-Ökosysteme ihre Sicherheitsmodelle entsprechend schärfen. Der Vorfall macht deutlich, dass „offline“ zwar die Angriffsfläche gegenüber typischen Remote-Exploits reduziert, aber nicht automatisch die Qualität der kryptografischen Zufallsquelle und deren Implementierung absichert. In diesem Spannungsfeld wird auch KI-basierte Automatisierung in der Sicherheitsprüfung relevanter: Nicht als Allheilmittel, sondern als Werkzeug, um Firmwarestände, Seed-Entropie-Properties und Anomalien in Wallet-Verhalten frühzeitig zu erkennen. Unabhängig davon bleibt das zentrale Lernziel, das ein Betroffener in seinen Schlussfolgerungen andeutet: Wenn selbst ein Cold-Device so komplex wird, dass man seine Schutzversprechen nicht mehr sicher verifizieren kann, verschiebt sich der Nutzen von „Vertrauen“ hin zu „Verifikation“ – und genau diese Umstellung entscheidet im Ernstfall über Verlust oder Kontrolle.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Coldcard-Hack zeigt: „Offline“-Bitcoin-Wallets bleiben angreifbar" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Coldcard-Hack zeigt: „Offline“-Bitcoin-Wallets bleiben angreifbar" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Coldcard-Hack zeigt: „Offline“-Bitcoin-Wallets bleiben angreifbar« bei Google Deutschland suchen, bei Bing oder Google News!