41 Minuten. $7000 Millionen.
Nicht weil die Börse gehackt wurde. Nicht weil ein Hot Wallet gestohlen wurde. Sondern Coldcard – das kompromissloseste Hardware-Wallet der Krypto-Szene. Offline-Signierung. Physische Trennung. Luftspalt. So etwas sollte eigentlich nicht zu knacken sein.
Es ist passiert.
Fox Business und TechCrunch haben beide darüber berichtet. Galaxy Research ist den On-Chain-Adressen nachgegangen. 1.196 Wallets wurden am 30. Juli leergefegt – in 41 Minuten. Später stellte sich heraus, dass es noch eine zweite und dritte Welle von Angriffen gab. Bis diesen Dienstag beliefen sich die kumulierten Verluste bereits auf über 130 Millionen US-Dollar. Forbes, CBC und The Hacker News waren alle mit Schlagzeilen dabei.
Die Schwachstelle stammt aus dem März 2021. Coinkite hatte damals in der Firmware etwas falsch integriert – die Seed-Generierung wurde irrtümlich an einen Software-Pseudo-Zufallszahlengenerator weitergeleitet, statt an den STM32-Hardware-True-RNG-Chip. Das Security-Team von Block sagt es in Menschensprache: Die Seeds lassen sich vorhersagen. Kein Quantencomputer nötig. Kein staatlich finanzierter Hacker nötig. Normaler PC-Brute-Force reicht.
Betroffen sind die fünf Modelle Mk4, Q, Mk3, Q1 und Edge. Seeds, die zwischen März 2021 und Mai 2023 erstellt wurden. Coinkite hat am 31. Juli einen Notfall-Firmware-Patch veröffentlicht. Aber der Patch kann die bereits erzeugten alten Seeds nicht reparieren – Kryptografie ist Kryptografie: Seed erzeugt, Seed erzeugt. Was offenliegt, muss neu erstellt werden.
Aktuell scannen mindestens 12 verschiedene Angreifer diese Adressen. Galaxy sagt, sie würden noch weiter überwachen – der Angriff läuft noch. TRM Labs schätzt: Von 2026 bis heute gab es bereits mehr als 200 Krypto-Hacks, insgesamt mit Verlusten von 950 Millionen US-Dollar. Coldcard macht an dieser Stelle 13% aus. Der drittgrößte Hacker-Vorfall dieses Jahres.
Am bittersten ist die Haltung vieler Betroffener. Sie haben alles richtig gemacht. Keine Coins an der Börse lagern. Ein Hardware-Wallet kaufen. Netzstecker ziehen. Privatschlüssel offline speichern. Sie glaubten, sie seien sicherer als 99% der Krypto-Nutzer. Und dann kam die erste Verteidigungslinie – Seed nicht genug zufällig – schon auf der Firmware-Ebene zum Einsturz. Danach waren alle weiteren Sicherheitsmaßnahmen nur noch Deko.
Auf der Website von Coinkite hängt jetzt bereits eine Warnung. Alle Seeds, die im betroffenen Zeitraum erzeugt wurden, sind vollständig ungültig. Sofort umziehen. Doch On-Chain-Daten zeigen: Sehr viele Adressen wurden noch nicht bewegt – entweder haben die Opfer es noch nicht bemerkt oder die privaten Schlüssel sind verloren und daher nicht mehr handlungsfähig.
$BTC #Coldcard #Security #Bitcoin