LONDON (IT BOLTWISE) – Changpeng „CZ“ Zhao warnt Krypto-Nutzer nach einem Wallet-Exploit, der aus Coldcard-Geräten hohe Summen in Bitcoin abgezogen hat. Der Vorfall zeigt, dass selbst Hardware-Wallets Bugs haben können und ältere Geräte nicht automatisch geschützt sind. Zhao empfiehlt als Risikominderung das Verteilen der Bestände auf mehrere Wallets, macht aber klar, dass keine Konfiguration narrensicher ist. Die Ermittlungen stützen sich auf Musteranalysen des Geldflusses und auf Firmware-Hinweise des Herstellers.
Nach dem Abfluss von rund 70 Millionen US-Dollar in Bitcoin aus Coldcard-Hardware-Wallets meldet sich auch Changpeng „CZ“ Zhao mit einer deutlichen Warnung zu Wort. In seinem Beitrag auf X richtete er sich an Wallet-Besitzer, die Hardware-Schutz oft als „blindes Vertrauen“ missverstehen. „Nothing is 100%“, schrieb CZ. Damit trifft er einen wunden Punkt der Praxis: Hardware-Wallets gelten zwar als deutlich robuster gegen Malware am Rechner, aber sie sind nicht automatisch fehlerfrei – insbesondere dann nicht, wenn ein Update-Baustein oder ein Firmwarepfad eine Schwachstelle in der Schlüsselableitung begünstigt.
Technisch rückt der Fall vor allem das Zusammenspiel aus Firmware, Zufallsquellen und Seed-Generierung in den Fokus. Berichten zufolge wurde bei Coldcard-Geräten ein Problem entdeckt, das Seeds auf betroffenen Einheiten aus einem Software-Fallback ziehen kann, statt aus dem hardwareeigenen Zufallszahlengenerator. Für Angreifer ist das entscheidend: Wenn private Schlüssel leichter erratbar werden, kippt die Sicherheitsannahme hinter Seed-basierten Wallets. Zudem weist die Analyse darauf hin, dass ein Update allein nicht genügt, sobald auf einem bereits kompromittierten Gerät ein Seed erzeugt wurde. Damit verschiebt sich die Risikokurve vom „Patchen“ hin zu „neu generieren und migrieren“.
Der Zeitverlauf und die wachsende Schadenssumme zeigen außerdem, wie schnell sich solche Angriffe operationalisieren lassen. Zunächst wurden Verluste von etwa 594 BTC genannt, abgezogen aus rund 500 Wallets. Später wurde das Ausmaß jedoch nach oben korrigiert: Eine Auswertung von Galaxy Research, die den Geldfluss anhand eines von den Ingenieuren bei Block identifizierten Musters nachverfolgte, beziffert den Schaden inzwischen auf 1.196 Adressen, aus denen insgesamt 1.082,65 BTC entnommen wurden – für etwa 70,2 Millionen US-Dollar. Auffällig ist auch das enge Zeitfenster: Die Angaben sprechen von einer automatisierten Abwicklung in rund 41 Minuten am 30. Juli. Diese Verdichtung passt zu einem Tool-ähnlichen Ablauf, der Schlüssel kontrolliert „swept“, statt dass einzelne Nutzerbewegungen zufällig wirken.
Besonders aussagekräftig ist in diesem Zusammenhang die Beschreibung, wie die Abflüsse technisch strukturiert waren. Galaxy Research hebt hervor, dass jeder Sweep eine identische Hardcode-Transaktionsgebühr bezahlte und keinerlei „change output“ erzeugte. Das wirkt wie ein bewusst vereinfachter Ablauf: Der Angreifer nimmt offenbar nur die verfügbaren Mittel und lässt die restliche Logik aus. Auch die Bandbreite der betroffenen Adresstypen fällt auf: Sowohl native SegWit-Formate als auch ältere Adressvarianten waren involviert. Diese Mischung legt laut der Analyse nahe, dass nicht nur eine Adressspur verfolgt wurde, sondern mehrere Pfade für den Abgriff existierten – ein Hinweis auf Multi-Path Key Scanning, also das systematische Durchsuchen unterschiedlicher Ableitungsrouten.
Für Hardware-Wallet-Anwender bedeutet das eine harte, aber wichtige Erkenntnis: „Firmware aktuell“ ist nicht automatisch gleich „Seeds unverändert sicher“. Gerade der Punkt, dass ein Firmwareupdate Seeds nicht repariert, unterstreicht die Verantwortung im operativen Umgang. Wer auf einem betroffenen Gerät bereits Seeds erzeugt hat, muss den Seed-Status bewerten und folgerichtig migrieren. Coinkite hat in diesem Kontext Emergency-Hotfixes bereitgestellt und Nutzer mit potenzieller Exposition aufgefordert, auf neu generierte Seeds umzusteigen. Parallel lohnt sich ein Blick auf die eigene Backup- und Wiederherstellungsstrategie: Denn wenn die Kompromittierung an der Seed-Phase ansetzt, ist der reine Besitz des Geräts im Nachhinein nur noch eingeschränkt hilfreich.
Changpeng Zhao ergänzt die technische Dimension um eine pragmatische Risikosteuerung. In seinem Post empfahl er, Bestände auf mehrere Wallets zu verteilen, um die maximale Schadenshöhe pro Gerät oder Seed zu reduzieren. Genau hier liegt jedoch der Trade-off, den er selbst anspricht: Mehr Wallets erhöhen die organisatorische Komplexität, die Fehleranfälligkeit bei der Migration und den Aufwand im Alltag. Trotzdem ist die Logik konsistent mit etablierten Security-Ansätzen wie „Blast Radius reduzieren“: Selbst wenn ein Hardware-Wallet-Design Schwächen hat, begrenzt die Segmentierung die Konsequenzen. CZ schloss mit seinem Mantra „Stay SAFU!“ – weniger als Werbespruch, eher als Hinweis, dass Sicherheit im Krypto-Betrieb dauerhaft überprüft werden muss, nicht einmalig eingerichtet und dann „abgehakt“ wird.
Für die Branche ist der Vorfall auch ein Signal an die Entwickler- und Wallet-Ökosysteme. Hersteller müssen nicht nur in der App- und UI-Schicht stabil liefern, sondern vor allem in den Bereichen, die weniger sichtbar sind: Zufallsquellen, Fallback-Mechanismen, Firmwarepfade und die Korrektheit der Seed-Generierung unter realen Zuständen. Gleichzeitig wird die Bedeutung unabhängiger Analyse über Transaktionsmuster weiter steigen, weil reine Device-Forensik nicht immer schnell genug ist. Für Unternehmen und institutionelle Verwahrer heißt das: Prozesse wie Seed-Migration, regelmäßige Firmwareprüfungen und das dokumentierte Handling von erzeugten Seeds müssen als Gesamtkette betrachtet werden, nicht als einzelne Maßnahmen. Das schafft weniger „Sicherheitsgefühl“, dafür mehr überprüfbare Resilienz – genau die Art von Realitätssinn, die CZ mit „Nothing is 100%“ eingefordert hat.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CZ warnt vor Coldcard-Exploit: Selbst Hardware-Wallets sind nicht 100% sicher" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CZ warnt vor Coldcard-Exploit: Selbst Hardware-Wallets sind nicht 100% sicher" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CZ warnt vor Coldcard-Exploit: Selbst Hardware-Wallets sind nicht 100% sicher« bei Google Deutschland suchen, bei Bing oder Google News!