Die Bitcoin Cold Wallet Sicherheit steht infrage: Der Angriff auf das Hardware-Wallet Coldcard hat sich bis Sonntag, 2. August 2026, auf 4.585 Adressen ausgeweitet, die Verluste liegen bei rund 89 Mio. US-Dollar.

Cold-Wallet-Angriff breitet sich auf 4.500 Adressen aus

Der Angriff auf die Bitcoin Cold Wallet Sicherheit des Hardware-Wallets Coldcard hat sich bis Sonntag, 2. August 2026, auf 4.585 Adressen ausgeweitet. Nach Angaben von Marktbeobachtern wie Galaxy Research wurden seit dem 30. Juli in drei aufeinanderfolgenden Wellen rund 1.367 Bitcoin abgezogen, umgerechnet knapp 89 Mio. US-Dollar.

Betroffen sind Nutzer des Herstellers Coinkite. Ursache ist keine Kompromittierung der Geräte selbst, sondern ein Fehler bei der Erzeugung der Wallet-Seeds: Angreifer können private Schlüssel rekonstruieren, ohne je physischen Zugriff auf ein Coldcard-Gerät gehabt zu haben.

89 Millionen Dollar verloren durch neue Hack-Methode

Der Vorfall wirft ernste Fragen zur Bitcoin Cold Wallet Sicherheit auf: Laut eigenem Sicherheits-Advisory von Coinkite betrifft die Schwachstelle Firmware-Versionen der Modelle Mk2, Mk3, Mk4, Mk5 und Q. Bei Mk2 und Mk3 mit Firmware zwischen Version 4.0.1 und 4.1.9 aus dem März 2021 lag die Entropie der Seed-Erzeugung unter den vorgesehenen 128 Bit, bei Mk4, Mk5 und Q bei nur rund 72 statt 128 Bit.

Die geringere Entropie erlaubte es Angreifern, mögliche Seeds systematisch durchzuprobieren, ohne das Gerät zu berühren. Wallets ohne zusätzliche BIP-39-Passphrase gelten als besonders gefährdet für diesen Bitcoin Hack. Coinkite hat reparierte Firmware veröffentlicht, unter anderem Version 4.2.0 für Mk2 und Mk3 sowie 5.6.0 für Mk4 und Mk5. Die Produkte Tapsigner, Opendime und Satscard nutzen eine andere Codebasis und sind nicht betroffen.

Rasante Ausbreitung des Angriffs innerhalb weniger Tage

Die erste Welle am 30. Juli entzog rund 500 Adressen etwa 594 Bitcoin. Wenige Stunden später erfasste eine zweite, deutlich größere Welle mehr als 1.196 Adressen und trieb die Verluste über 70 Mio. US-Dollar. Eine dritte Welle, die Galaxy Research am Wochenende registrierte, betraf zwischen Freitagmittag und Samstagmorgen (UTC) weitere 1.912 Adressen mit rund 208 abgezogenen Bitcoin. Nutzer bringen seither vermehrt Bitcoin aus der Selbstverwahrung zurück auf Börsen, um weitere Abflüsse zu verhindern.

Die Bitcoin Cold Wallet Sicherheit folgt damit nicht allein aus der Dezentralität des Netzwerks, sondern aus der korrekten Umsetzung der Schlüsselerzeugung in jedem einzelnen Gerät. Wer Bitcoin selbst verwahrt, übernimmt damit auch die Verantwortung für die Qualität der eingesetzten Software.

Offen bleibt, wie viele betroffene Wallets noch ungesichert sind, bevor Angreifer sie identifizieren. Die Obergrenze von 21 Mio. Bitcoin und die Blockchain selbst bleiben von der Schwachstelle unberührt.

Wir berichteten über Schwachstellen bei Hardware-Wallets.