Die Hardware Wallet Sicherheit steht nach dem Coldcard-Hack vom 30. Juli 2026 in der Kritik: Angreifer erbeuteten rund 1.816 Bitcoin, umgerechnet etwa 116 Mio. US-Dollar, von mehr als 5.200 Adressen. Ursache war eine Schwachstelle in der Seed-Generierung, die bereits seit März 2021 im Code lag.

Coldcard Sicherheitslücke betraf Millionen Hardware Wallets

Seit dem 30. Juli 2026 nutzten Angreifer eine Schwachstelle in der Seed-Generierung der Coldcard-Wallet aus und erbeuteten in mehreren Wellen rund 1.816 Bitcoin, umgerechnet etwa 116 Mio. US-Dollar, von mehr als 5.200 Adressen. Damit ist der Coldcard-Hack der größte bekannte Hardware-Wallet-Angriff der Geschichte und der drittgrößte Krypto-Hack des Jahres 2026, er rückt die Hardware Wallet Sicherheit von Cold-Storage-Geräten in den Fokus.

Ursache war ein Fehler im Zufallszahlengenerator der Firmware, der seit März 2021 offen im Quellcode des Herstellers Coinkite lag. Betroffen war potenziell jedes Gerät, das seit diesem Datum mit der fehlerhaften Firmware-Version einen Seed erzeugt hat, auch wenn nur ein Teil der Nutzer tatsächlich beraubt wurde. Die Hardware Wallet Sicherheit hing damit fünf Jahre lang von einem unentdeckten Programmierfehler ab.

Vertrauen ohne Verifikation bei Hardware Wallets

Bereits im August 2020 hatten Sicherheitsforscher von Shift Crypto und Nunchuk eine Schwachstelle in der Multisig-Verifikation der Coldcard offengelegt. Coinkite bestätigte den Fehler und lieferte ein Update, Gründer NVK bezeichnete die Offenlegung im Podcast Citadel Dispatch jedoch als „PR-Terrorismus“ und stellte infrage, ob ein Forscher ohne eigene CVE-Nummer überhaupt als seriös gelte.

Diese Reaktion dürfte unabhängige Prüfungen des Codes in den Folgejahren erschwert haben. Der eigene Sicherheitshinweis von Coinkite zur aktuellen Schwachstelle bestätigt, dass der Fehler über Jahre unentdeckt blieb. Für die Hardware Wallet Sicherheit zeigt der Fall, dass der Ruf eines Herstellers sauberen Code nicht ersetzt.

Institutionelle Abhängigkeit bei dezentraler Verwahrung

Wer Bitcoin über eine Hardware Wallet selbst verwahrt, verlässt sich dennoch auf einen einzelnen Hersteller: dessen Firmware, dessen Zufallszahlengenerator und dessen Umgang mit externer Kritik. Der Coldcard-Fall zeigt, dass diese Abhängigkeit trotz eigener privater Schlüssel bestehen bleibt, ganz gleich, ob die Coins auf einer Börse liegen oder in Selbstverwahrung.

Genau diese Machtkonzentration bei einzelnen Anbietern widerspricht dem Grundgedanken dezentraler Kontrolle, den Selbstverwahrung eigentlich verspricht. Das Risiko Verwahrung verschiebt sich damit von der Börse auf den Gerätehersteller, verschwindet aber nicht.

Für Nutzer bleibt die Konsequenz konkret: Firmware zeitnah aktualisieren und Seeds im Zweifel auf einem unabhängig geprüften Gerät neu erzeugen. Offen ist, ob weitere Hersteller ähnliche Altlasten im Code tragen.

Wir berichteten über Sicherheits- und Privatsphäre-Fragen bei Hardware Wallets.