Eine Sicherheitslücke in der Firmware der Hardware-Wallets Coldcard, die seit März 2021 besteht, ermöglichte Hackern, im ersten Angriffswelle 1.755 Bitcoins von mehr als 5.000 Adressen zu stehlen. Die Firma Coinkite stoppte Lieferungen und vernichtete betroffene Geräte.
Hackerangriffe auf die Hardware-Wallets der Marke Coldcard führten zum Diebstahl von 1.755 Bitcoins, was zum Zeitpunkt des Angriffs mehr als 110 Millionen Dollar wert war. Die Angreifer nutzten einen schwerwiegenden Fehler im Programmcode der Firmware, der seit März 2021 bestand und es ihnen ermöglichte, private Schlüssel für den Zugriff auf die Gelder vorherzusagen.
Alex Thorn, Forschungsleiter bei der Firma Galaxy, warnte am Montag, den 3. August 2026, vor einer neuen Angriffswelle. Laut Daten von Galaxy Research war die erste Angriffswelle die schnellste und verheerendste: In nur 41 Minuten stahlen Hacker 1.083 Bitcoins von 1.196 Adressen. Insgesamt wurden in diesem ersten Schlag von mehr als 5.000 Adressen 1.755 Bitcoins entwendet.
Coldcard ist eine Hardware-Wallet des kanadischen Unternehmens Coinkite, die entwickelt wurde, um Zugriffsschlüssel sicher offline aufzubewahren. Das Problem trat in der Firmware des Geräts bei der Generierung des privaten Schlüssels auf. Wie das spezialisierte Portal Numérama erklärt, führte ein Fehler in einer Codezeile dazu, dass bestimmte Geräte auf einen deutlich schwächeren Zufallszahlengenerator umstellten.
Laut einem Sicherheitsbericht des US-amerikanischen Finanztechnologieunternehmens Block war die Folge, dass die "Seed-Phrasen", also die 12 bis 24 Wörter umfassenden Wiederherstellungssequenzen der Wallets, so vorhersehbar wurden, dass erfahrene Hacker sie erraten konnten. Auf diese Weise konnten sie Gelder stehlen, ohne physischen Zugriff auf das Gerät zu haben. Der Fehler entstand laut einer Mitteilung von Coinkite im März 2021.
Coinkite gab am Sonntag, den 2. August 2026, bekannt, dass es alle Lieferungen von Coldcard-Wallets gestoppt hat, sobald die Schwachstelle bestätigt wurde. "Wir haben die Lieferungen von COLDCARD gestoppt, sobald wir die Schwachstelle bestätigt haben. Alle verbleibenden Einheiten in unseren Räumlichkeiten mit betroffener Firmware wurden vernichtet", heißt es in der Mitteilung des Unternehmens auf X. Kunden, deren Bestellungen bereits versandt worden waren, wurden direkt per E-Mail mit Anweisungen zur Migration ihrer Gelder auf eine neue, sichere Wiederherstellungsphrase kontaktiert.
Coinkite rät betroffenen Nutzern außerdem, ihre Wallets aufzubewahren. "Sie könnten sich als entscheidend erweisen, falls Gelder zurückgeholt werden müssen. Unser Rechtsteam wird, falls erforderlich, die Bemühungen mit der Polizei koordinieren (...), um die Verantwortlichen zu identifizieren", so das Unternehmen. Andere Produkte wie Satscard, Opendime und Tapsigner verwenden unterschiedliche Codebasen und sind von dieser Schwachstelle nicht betroffen. Das Unternehmen gab außerdem an, mit der "gesamten Hardware-Wallet-Community", einschließlich anderer Entwickler und Forscher, in Kontakt zu stehen und entschuldigte sich am Sonntag bei seinen Kunden.
