Coldcard-Hack: Verluste steigen weiter, Experten uneins über Bitcoin-Gesamtsumme

Fast zwei Wochen nachdem Angreifer begannen, Bitcoin ↘ 0.29% von kompromittierten Coldcard-Hardware-Wallets abzuziehen, arbeiten Blockchain-Ermittler weiterhin daran, das volle Ausmaß dessen zu erfassen, was Analysten als das bisher größte Versagen bei der Eigenverwahrung in der Geschichte von Bitcoin bezeichnen. Die Schätzungen der Gesamtverluste liegen zwischen etwa 100 Millionen und 130 Millionen US-Dollar, wobei die endgültige Summe wahrscheinlich ungewiss bleibt, da die Opfer ihre Verluste selbst melden müssen.

Ermittler uneins bei Schadenssummen

Galaxy Research, unter der Leitung von Alex Thorn, bezifferte das Minimum am Dienstag auf 1.730 BTC, mit einer potenziellen Obergrenze von etwa 1.816 BTC. Thorn erklärte gegenüber Cointelegraph, dass mehr als 450 BTC direkt durch Opferberichte bestätigt wurden, was wiederum dabei half, weitere unbekannte Opfer mit insgesamt über 730 BTC zu identifizieren. TRM Labs schätzte unabhängig, dass Angreifer in vier Wellen etwa 1.816 BTC von über 5.200 Adressen entwendet haben, wobei Ari Redbord, globaler Leiter für Politik, davor warnte, dass die Zahl voraussichtlich weiter steigen werde.tradingview+1

CryptoQuant verfolgt einen strengeren, auf Offenlegungen basierenden Ansatz. Der Forschungsleiter Julio Moreno gab an, dass der bestätigte Stand der Plattform bei 1.432 BTC liegt, was er als Untergrenze bezeichnete. "Da die gestohlenen Bitcoin Einzelpersonen und nicht einer zentralisierten Einheit wie einer Börse gehörten, können wir nur bestätigen, was jedes Opfer öffentlich preisgibt", so Moreno.crypto-economy+1

Wie die Schwachstelle funktionierte

Die Sicherheitslücke geht auf eine Firmware-Änderung im März 2021 zurück, die dazu führte, dass die Seed-Generierung von Coldcard den Hardware-Zufallszahlengenerator des Geräts umging und eine vorhersehbare Softwarefunktion mit nur 40 Bit effektiver Entropie anstelle der vorgesehenen 128 Bit verwendete. Diese Reduzierung machte eine Brute-Force-Wiederherstellung der Schlüssel ohne physischen Zugriff auf das Gerät rechnerisch möglich. Mindestens 15 unabhängige Angreifer nutzten die Schwachstelle ab dem 30. Juli aus und räumten in rascher Folge Gelder von Tausenden von Single-Signature-Wallets ab.forbes+3

Der Bitcoin-Entwickler James O'Beirne gab an, dass er Coinkite bereits im Mai 2025 auf den fehlerhaften Zufallscode aufmerksam gemacht hatte, mehr als vierzehn Monate bevor der Exploit bekannt wurde. Laut Berichten von Phemex lautete die Antwort von Coinkite, dass sich das Problem wahrscheinlich bereits manifestiert hätte, wenn es real wäre.phemex

Nachwirkungen und Reaktion der Branche

Coinkite stellte am 31. Juli eine gepatchte Firmware bereit, warnte jedoch, dass das Update die Entropie bereits generierter Seeds nicht verbessern könne. Betroffene Nutzer müssen vollständig neue Seeds erstellen und ihre Gelder transferieren. Das Unternehmen widerrief zudem am 6. und 7. August seine Richtlinie zur automatischen Löschung von Kundendaten unter Verweis auf "laufende und erwartete Gerichtsverfahren", obwohl bisher keine Klage öffentlich eingereicht wurde.etfdb+1

Der Vorfall hat die Debatte über Eigenverwahrung versus institutionelle Lösungen neu entfacht. Bei Bloomberg Crypto sagte Thorn, Bitcoin werde den Vorfall "überleben" und bezeichnete ihn als Versagen des Herstellers und nicht als Protokollfehler. River, das Bitcoin-Finanzdienstleistungsunternehmen, bestätigte diese Unterscheidung: "Die Coldcard-Schwachstelle betrifft weder das Bitcoin-Protokoll noch irgendetwas, das mit der Funktionsweise von Bitcoin zu tun hat."bloomberg+2

Dennoch hat die Episode Kapital in börsengehandelte Produkte gelenkt. Spot-Bitcoin-ETFs verzeichneten in der Woche bis zum 7. August Nettozuflüsse von 853 Millionen US-Dollar, der stärkste Wochenwert seit Mitte April. Der iShares Bitcoin Trust von BlackRock ↘ 0.54% vereinte den Großteil dieser Zuflüsse auf sich.cryptorank+1

Für Inhaber, die noch betroffene Geräte nutzen, ist die Botschaft der Forscher eindeutig: Ein Firmware-Update allein reicht nicht aus. Nur ein frisch generierter Seed auf einer nachweislich gepatchten Firmware sichert die verbleibenden Gelder ab.phemex+1