Beim Coldcard Hack hat der Angreifer zwischen dem 2. und 6. September 2026 rund 97,09 Bitcoin im Gegenwert von 7,7 Mio. US-Dollar bewegt, fast die Hälfte der dritten Diebstahlswelle. Die Mittel liegen auf 293 einzelnen Tresor-Adressen, die er der Größe nach leert.
7,7 Millionen Dollar Bitcoin aus Coldcard-Hack bewegt
Beim Coldcard Hack hat der verantwortliche Angreifer zwischen dem 2. und 6. September 2026 rund 97,09 Bitcoin im Gegenwert von 7,7 Mio. US-Dollar aus gestohlenen Beständen bewegt. Das entspricht knapp 45 Prozent der Bitcoin-Menge, die in der dritten Angriffswelle des Coldcard Hack erbeutet wurde.
Am 2. September leitete der Angreifer 20,5 Bitcoin aus dem größten Tresor über die dezentrale Handelsplattform THORChain. Die Erlöse landeten anschließend auf Ethereum. Am 5. September folgten 15,48 Bitcoin aus dem zweitgrößten Tresor über eine CoinJoin-Transaktion. Einen Tag später, am 6. September, flossen weitere 61,12 Bitcoin aus zehn zusätzlichen Tresoren ab.
Der Angreifer verteilt gestohlene Bitcoin auf 293 Tresore
Insgesamt liegen die aus der dritten Angriffswelle gestohlenen Mittel auf 293 einzelnen Tresor-Adressen, die der Angreifer der Größe nach leert. Bislang sind die elf größten Tresore vollständig geleert. Die nächsten zehn Tresore halten zusammen 30,81 Bitcoin, die restlichen Adressen von Rang 61 bis 293 kommen auf weitere 33,77 Bitcoin.
Ursache ist ein Fehler im Zufallszahlengenerator der Coldcard-Firmware, der die Seed-Generierung schwächte und private Schlüssel offline rekonstruierbar machte. Hersteller Coinkite bestätigt den Fehler auf seiner Sicherheits-Statusseite und nennt die Modelle Mk2 bis Q als betroffen. Der Fehler steckte bereits seit März 2021 im Code und wurde erst im Juli 2026 öffentlich bekannt. Aktualisierte Firmware repariert keine bereits betroffenen Seeds.
Tresore in Größenordnung geleert: Das systematische Muster
Das Muster, zuerst die größten Tresore zu leeren und sich dann schrittweise zu kleineren vorzuarbeiten, zieht sich durch alle drei Angriffswellen des Coldcard Hack seit Ende Juli. Es wirft grundsätzliche Fragen zur Hardware Wallet Sicherheit auf. Insgesamt sollen rund 1.816 Bitcoin von mehr als 5.200 Adressen betroffen sein. Ein vollständiges Opferverzeichnis gibt es laut Coinkite bislang nicht.
Der Fall zeigt, dass Selbstverwahrung die volle Verantwortung für die Qualität der zugrunde liegenden Zufallsquelle beim Nutzer belässt. Ein einzelner Firmware-Fehler kann diese Kontrolle vollständig untergraben. Anders als bei einem Börsen-Hack gibt es keine zentrale Stelle, die den Schaden auffängt.
Offen bleibt, wie viele der verbleibenden 282 Tresore der Angreifer noch leert. Wer eine Coldcard mit älterer Firmware nutzt, sollte laut Coinkite umgehend prüfen, ob der eigene Seed betroffen ist.
Wir berichteten über die erste Welle des Coldcard Hack und die grundsätzlichen Verwahrungsrisiken bei Hardware-Wallets.
