Der Coldcard-Wallet-Hack von Coinkite erklärt

Was ist ein Coldcard-Wallet-Hack?

Cold Wallets gelten oft als eine der sichersten Möglichkeiten, Bitcoin aufzubewahren. Trotzdem ging es diese Woche bei Coldcard, der Hardware Wallet von Coinkite, deutlich schief. Durch einen alten Fehler in der Firmware waren einige Wiederherstellungsphrasen weniger zufällig als gedacht, wodurch Hacker die dazugehörigen Wallets aus der Ferne knacken konnten. Insgesamt wurden schätzungsweise 1.816 BTC erbeutet, mit einem Wert von rund 116 Millionen Dollar zum Zeitpunkt der Veröffentlichung.

Bei einem Coldcard-Wallet-Hack geht es in diesem Fall vor allem um eine schwach erzeugte Recovery Seed, nicht um einen Angreifer, der einfach deine physische Coldcard (Hardware Wallet) in die Hände bekommt.

Coldcard ist eine Bitcoin-only Hardware Wallet des Kryptounternehmens Coinkite. So eine Krypto Wallet speichert deine Private Keys offline und nutzt sie, um Bitcoin-Transaktionen zu signieren.

Beim Sicherheitsvorfall aus dem Jahr 2026 zeigte sich, dass bestimmte Firmware-Versionen einen Seed mit zu wenig Zufälligkeit erzeugen konnten. Diese Zufälligkeit nennt man Entropie. Einfach gesagt: Je mehr Entropie vorhanden ist, desto größer ist die Zahl möglicher Seeds und desto schwerer ist es, deinen Seed zu erraten oder nachzubilden.

Wenn jemand einen schwachen Seed rekonstruieren kann, lassen sich daraus auch die Private Keys ableiten. Anschließend kann der Angreifer die Wallet auf einem anderen System wiederherstellen und Bitcoin versenden. Dafür braucht er also nicht zwingend deine Coldcard, deine PIN oder deine Recovery Words. Selbst Menschen, die ihre Hardware Wallet in einem physischen Tresor aufbewahrt hatten, waren also nicht sicher. Eine Wallet ist nämlich immer digital zugänglich, wenn jemand deine Seedphrase und Private Keys hat.

Der Begriff „Hack“ ist hier also eigentlich etwas weit gefasst. Es ging konkret um einen Fehler bei der Seed-Erzeugung in verwundbarer Firmware, nicht um ein Online-Konto von Coinkite oder einen Angriff, bei dem jede Coldcard automatisch übernommen wurde.

Wichtigste Erkenntnisse

• Der Vorfall drehte sich um einen Fehler beim Erzeugen einiger Coldcard-Seeds.
• Ein Seed mit zu wenig Entropie kann leichter rekonstruierbar sein als beabsichtigt.
• Wer einen Seed rekonstruieren kann, kann die dazugehörigen Bitcoin-Private Keys ableiten.
• Eine PIN schützt das Gerät, repariert aber keinen schwachen Seed.
• Ein bereits vorhandener verwundbarer Seed muss auf einen neuen, sicher erzeugten Seed migriert werden.

Wie wurde die Coinkite Wallet gehackt?

Die Schwachstelle lag in der Art und Weise, wie einige Coldcards eine neue Wiederherstellungsphrase erzeugten. Durch einen Fehler in der Software waren diese Wiederherstellungsphrasen weniger zufällig, als sie hätten sein sollen.

Dadurch mussten Hacker deutlich weniger mögliche Kombinationen ausprobieren. Mit genügend Rechenleistung konnten sie bestimmte Wiederherstellungsphrasen herausfinden und auf die dazugehörigen Bitcoin zugreifen. Dafür mussten sie die Coldcard selbst nicht in die Hände bekommen. Viele Anleger wissen also ebenfalls nichts von dem Problem und werden früher oder später feststellen, dass die Coins gestohlen wurden.

Das Problem bestand bereits seit 2021 in verschiedenen Software-Versionen. Vor allem Nutzer, die in diesem Zeitraum eine neue Wiederherstellungsphrase auf ihrer Coldcard angelegt hatten, waren gefährdet. Ein einfaches Software-Update reicht nicht aus: Eine alte, verwundbare Wiederherstellungsphrase bleibt nämlich verwundbar, weil sie sich nie mehr ändert. Nutzer müssen deshalb nach dem Update eine neue Wiederherstellungsphrase anlegen und ihre Bitcoin auf die neue Wallet übertragen.

Ein zusätzliches Passwort neben der Wiederherstellungsphrase konnte die Wallet besser schützen. Die normale PIN des Geräts half gegen diesen Angriff nicht, weil Hacker die gestohlene Wiederherstellungsphrase auf einem anderen Gerät verwenden konnten.

Welche Sicherheitsebenen nutzte Coinkites Coldcard-Wallet?

Die Coldcard verfügte über mehrere Sicherheitsebenen. So blieben die privaten Schlüssel offline auf dem Gerät und Transaktionen konnten signiert werden, ohne die Wallet direkt mit dem Internet zu verbinden. Eine PIN verhinderte, dass jemand das Gerät einfach öffnen konnte, während spezielle Sicherheitschips die geheimen Schlüssel vor physischen Angriffen schützen sollten.

Außerdem konnten Nutzer ein zusätzliches Passwort festlegen oder mehrere Wallets kombinieren, sodass für eine Transaktion mehrere digitale Signaturen nötig waren. Sie konnten ihre Wiederherstellungsphrase auch offline aufbewahren, um die Wallet bei Verlust oder Beschädigung wiederherzustellen.

Trotzdem zeigte sich, dass eine entscheidende Ebene nicht richtig funktionierte: das Erzeugen der Wiederherstellungsphrase. Wenn diese von Anfang an zu vorhersehbar ist, können viele andere Sicherheitsmaßnahmen umgangen werden. Ein Angreifer muss dann nämlich nicht das Gerät oder die PIN knacken, sondern kann versuchen, die Wiederherstellungsphrase direkt herauszufinden. Unwissende Kunden sind also auch völlig überrascht davon, dass Coinkite die Sicherheit nicht im Griff hatte.

Was kannst du tun, wenn deine Hardware Wallet gehackt wurde?

Siehst du unbekannte Transaktionen oder glaubst du, dass deine Wiederherstellungsphrase geleakt wurde? Dann geh davon aus, dass deine Wallet nicht mehr sicher ist. Ein Software-Update reicht nicht aus: Deine bestehende Wiederherstellungsphrase und deine Schlüssel bleiben dieselben.

Handle schnell, aber sorgfältig. Eine falsche Adresse oder ein falsch gespeichertes Backup kann beim Verschieben deiner Bitcoin nämlich ebenfalls zu Verlusten führen.

1. Aktualisiere die Software Wenn deine Wallet noch nicht leer ist, installiere dann so schnell wie möglich die neueste offizielle Software für deine Hardware Wallet. Lade Updates nur über die Website des Herstellers herunter.
2. Erstelle eine komplett neue Wallet Erstelle nach dem Update eine neue Wallet mit einer neuen Wiederherstellungsphrase. Übertrage deine alte Wiederherstellungsphrase nicht einfach auf ein anderes Gerät, denn dann bleibt das Risiko bestehen.
3. Bewahre deine neue Wiederherstellungsphrase auf und prüfe sie Schreibe die neue Wiederherstellungsphrase auf und bewahre sie offline auf. Prüfe danach auf dem Bildschirm deiner Hardware Wallet, ob die neue Empfangsadresse stimmt.
4. Sende zuerst einen kleinen Testbetrag Sende einen kleinen Betrag an die neue Wallet und prüfe, ob er ankommt. Verschiebe erst danach den Rest deiner Bitcoin.
5. Bewahre das alte Backup vorübergehend auf Wirf deine alte Wiederherstellungsphrase nicht sofort weg. Bewahre sie auf, bis der vollständige Umzug bestätigt ist. Nutze die alte Wallet danach nicht mehr.

Gestohlene Bitcoin-Transaktionen lassen sich meist nicht rückgängig machen. Halte deshalb unbekannte Transaktionen fest und melde den Diebstahl bei der Polizei.

Teile deine Wiederherstellungsphrase oder dein zusätzliches Passwort niemals mit jemandem. Auch nicht, wenn eine Exchange danach fragt. Auch ein echter Support-Mitarbeiter würde danach nicht fragen. Wer deine Wiederherstellungsphrase hat, kann grundsätzlich auf deine Bitcoin zugreifen.

Wie verhinderst du einen Coldcard-Wallet-Hack?

Einen Hack kannst du nie vollständig ausschließen, aber du kannst das Risiko deutlich senken. Bei Coldcard ist es vor allem wichtig, dass du die neueste Software verwendest und sorgfältig mit deiner Wiederherstellungsphrase umgehst.

1. Halte deine Coldcard aktuell Installiere immer die neueste offizielle Software, bevor du eine neue Wallet anlegst. Lade Updates nur über die Website von Coldcard herunter.
2. Erstelle bei Bedarf eine neue Wiederherstellungsphrase Wurde deine Wiederherstellungsphrase mit verwundbarer Software erzeugt? Dann reicht ein Update allein nicht aus. Erstelle nach dem Update eine neue Wallet und übertrage deine Bitcoin auf die neue Adresse.
3. Halte deine Wiederherstellungsphrase vollständig offline Mache kein Foto und keine digitale Kopie und speichere die Wörter nicht in deiner E-Mail oder in der Cloud. Teile sie auch niemals mit einer Website oder einem Support-Mitarbeiter.
4. Nutze gegebenenfalls ein zusätzliches Passwort Ein starkes und einzigartiges zusätzliches Passwort kann deine Wallet besser schützen, wenn jemand deine Wiederherstellungsphrase herausfindet. Bewahre dieses Passwort getrennt und sorgfältig auf: Wenn du es vergisst, kannst du die dazugehörige Wallet möglicherweise nicht mehr öffnen.
5. Prüfe jede Transaktion auf dem Gerät Kontrolliere vor der Bestätigung immer die Empfangsadresse, den Betrag und die Transaktionsgebühren auf dem Bildschirm deiner Coldcard. Verlass dich nicht nur auf die Informationen, die dein Computer oder Smartphone anzeigt.
6. Teste dein Backup Prüfe, ob du mit deiner Wiederherstellungsphrase tatsächlich wieder Zugriff auf deine Wallet bekommst, bevor du einen größeren Betrag dorthin sendest.

Wenn du bei der Erstellung deiner Wiederherstellungsphrase selbst zusätzliche Zufälligkeit hinzufügen willst, kannst du dafür Würfel verwenden. Tu das nur, wenn du genau weißt, wie es funktioniert. Im Zweifel ist es die sicherere Wahl, mit der aktualisierten Software eine neue Wiederherstellungsphrase zu erstellen.

Was, wenn du Opfer dieses Hacks bist?

Glaubst du, dass deine Coldcard betroffen ist? Dann geh davon aus, dass deine Wiederherstellungsphrase nicht mehr sicher ist. Aktualisiere zuerst deine Coldcard, erstelle eine komplett neue Wallet und verschiebe deine Bitcoin so schnell wie möglich. Sende zuerst einen kleinen Testbetrag und prüfe die neue Adresse sorgfältig, bevor du den Rest überweist.

Sind deine Bitcoins bereits gestohlen worden? Dann lässt sich die Transaktion leider nicht rückgängig machen. Bewahre alle Informationen zu den Transaktionen und Adressen auf und melde den Diebstahl bei Coinkite und der Polizei. Teile deine Wiederherstellungsphrase niemals mit jemandem, der verspricht, deine Bitcoin zurückzuholen: Das sind oft Betrüger, die erneut zuschlagen wollen. Wenn die Bitcoins tatsächlich aus deiner Wallet abgezogen wurden, gibt es niemanden außer dem Hacker selbst, der diese Coins noch zurückholen kann.

Fazit

Der Coldcard-Hack zeigt, dass selbst eine Hardware Wallet nicht automatisch vollständig sicher ist. Durch einen Fehler in der Software wurden einige Wiederherstellungsphrasen weniger zufällig erzeugt, als es vorgesehen war. Hacker konnten diese Wiederherstellungsphrasen dadurch rekonstruieren und die dazugehörigen Wallets leeren, ohne die physische Coldcard oder die PIN zu benötigen. Insgesamt wurden schätzungsweise 1.816 BTC gestohlen, mit einem Wert von rund 116 Millionen Dollar zum Zeitpunkt der Veröffentlichung.

Der Vorfall macht deutlich, wie wichtig es ist, Hardware Wallets regelmäßig zu aktualisieren und Sicherheitsmeldungen der Hersteller ernst zu nehmen. Wer möglicherweise eine betroffene Wiederherstellungsphrase nutzt, sollte nicht nur die Software aktualisieren, sondern auch eine komplett neue Wallet anlegen und die verbleibenden Bitcoin sorgfältig übertragen. Ein Update macht eine zuvor angelegte, verwundbare Wiederherstellungsphrase nämlich nicht nachträglich sicher.

Cold Storage senkt viele Risiken, nimmt sie aber nicht vollständig weg. Letztlich hängt die Sicherheit einer Wallet nicht nur vom physischen Gerät ab, sondern auch von der Software, der Erzeugung der Wiederherstellungsphrase und der Art und Weise, wie der Nutzer sein Backup aufbewahrt. Die wichtigste Lehre aus diesem Hack ist deshalb einfach: Verlass dich nicht blind auf nur eine Sicherheitsebene, bleib über Schwachstellen informiert und handle sofort, wenn deine Wallet möglicherweise gefährdet ist.