Der Coldcard-Hack erklärt: wie eine Offline-Wallet trotzdem leerlaufen konnte

← Zur Blogübersicht

Datum: 07.08.2026 | Woche 32 | Lesezeit: 8 Minuten | Aktualisiert: 28.10.2026
Autor: Tyler Dijst

Haben Sie eine Coldcard oder hatten Sie eine? Dann hat Sie die Nachricht vielleicht erschreckt. Sie haben alles richtig gemacht: offline aufbewahrt, Phrase nie weitergegeben. Und trotzdem gibt es ein Problem. Das ist frustrierend, und es ist verständlich, dass Sie sich Sorgen machen.

Ist schon etwas verschwunden? Dann lesen Sie auch was eine Untersuchung nach einer gehackten Wallet umfasst.

Coldcard Hack erklärt: Was ist passiert?

Ab dem 30. Juli 2026 wurden in großem Umfang Bitcoin aus Wallets abgezogen, die mit einer Coldcard erstellt worden waren, einer Hardware-Wallet des kanadischen Unternehmens Coinkite. Die Wiederherstellungsphrasen erwiesen sich als erratbar. In die Geräte wurde nicht eingebrochen: Die Schlüssel waren seit ihrer Erzeugung schwach, jahrelang, ohne dass es jemand merkte.

Das Ausmaß wuchs innerhalb von Tagen. Am 5. August 2026 wurde auf Basis von Galaxy Research gemeldet, dass von rund 7.300 Adressen 1.596 Bitcoin bestätigt gestohlen wurden, dazu vermutlich weitere 400 Bitcoin unbestätigt, zusammen etwa 128 Millionen Dollar. Einen Tag zuvor waren es noch 88 Millionen Dollar.

Was lief technisch schief?

Im März 2021 erhielt die Coldcard ein Firmware-Update mit einem neuen Zufallszahlengenerator. Durch einen Konfigurationsfehler wurde eine vorhersagbare, berechnete Variante statt des Generators im Chip verwendet. Das wurde am 6. August 2026 auf Basis des Forschers Amit Singh gemeldet. Nutzer sahen davon nichts: Das Gerät zeigte einfach eine Reihe von Wörtern.

Laut der technischen Erläuterung von Coinkite sank die Stärke bei der Mk2 und Mk3 dadurch von 128 Bit auf etwa 40 Bit. Das ist der Unterschied zwischen einer unvorstellbar großen Zahl an Möglichkeiten und rund einer Billion. Letztere lässt sich mit gewöhnlicher Ausrüstung durchprobieren.

Warum half die Offline-Aufbewahrung nicht?

Offline-Aufbewahrung schützt vor jemandem, der an Ihren Schlüssel herankommt. Sie schützt nicht vor einem Schlüssel, der von Anfang an erratbar war. Eine Hardware-Wallet hält den Schlüssel auf dem Gerät, und das funktionierte. Der Angreifer musste nichts stehlen, weil er den Schlüssel berechnen konnte.

Welche Coldcards sind gefährdet?

Nur solche, bei denen eine betroffene Coldcard die Phrase selbst erzeugt hat. Wer die Phrase anderswo erzeugt und nur auf dem Gerät eingegeben hat, ist durch diesen Fehler nicht gefährdet. Fünf Fragen helfen Ihnen weiter:

1. Hat das Gerät die Wiederherstellungsphrase selbst erzeugt?
2. War das nach dem Firmware-Update vom März 2021?
3. Um welches Modell und welche Firmware-Version ging es?
4. Wurde die Phrase auch für andere Wallets oder Konten genutzt?
5. Liegt noch Guthaben auf Adressen aus dieser Phrase?

Unsicher, ob Ihre Coldcard betroffen ist? Lassen Sie Paucitas mitschauen. Sie können uns jederzeit anrufen, rund um die Uhr, unter +31 20 244 5774.

Was geschah danach?

Coinkite rief Nutzer auf, zu aktualisieren und auf eine neu erzeugte Phrase umzusteigen. Innerhalb einer Woche folgte Phishing: Nachrichten boten ein "Hardware-Audit" an, doch der Link installierte ein Programm, mit dem Angreifer Zugriff auf den Computer erhielten. Das wurde am 6. August 2026 gemeldet.

Dieses Muster sehen wir nach jedem großen Vorfall. Eine Bitte, etwas zu installieren oder Ihre Phrase irgendwo einzugeben, ist in der Praxis oft ein zweiter Angriff. Auch Anbieter, die gegen Bezahlung Wiederherstellung versprechen, passen ins Muster eines Recovery Scams.

Was tun Sie, wenn Sie eine Coldcard nutzen?

Stellen Sie zuerst in Ruhe fest, ob Sie gefährdet sind. Aktualisieren Sie die Firmware über die offizielle Seite des Herstellers. Verschieben Sie im Zweifel Ihre Kryptowährungen in eine Wallet mit einer neuen, anderswo erzeugten Phrase. Tun Sie das nicht überstürzt, sonst entsteht ein zweites Problem.

Paucitas fragt von sich aus nie nach Ihrer Wiederherstellungsphrase oder Ihrem privaten Schlüssel. Möchten Sie wieder Zugang zu Ihrer eigenen Wallet oder Hilfe beim Umziehen, begleiten wir Sie, ohne diese Daten selbst einsehen zu müssen.

Was kann Paucitas tun, wenn schon etwas abgezogen wurde?

Dann geht es ums Festhalten. Paucitas arbeitet alles heraus: welche Adressen zu Ihrer Phrase gehören, wann was abging und wohin es ging, bis zum Cash-out-Punkt. Paucitas führt jede Rückverfolgung selbst durch, ohne Tracing-Tools, und wertet auch alle Nachrichten, E-Mails, Dokumente und sonstige Kommunikation aus, für ein vollständiges Bild mit einer Zeitleiste. Sie erhalten einen Bericht, den jeder Schritt für Schritt nachvollziehen und verstehen kann.

Manchmal liegen noch Kryptowährungen an einer erkennbaren Stelle. Manchmal zeigt sich, dass eine Wallet nicht betroffen ist. In jedem Fall wissen Sie, wo Sie stehen. Was können Sie mit dem Bericht von Paucitas tun? Er zeigt, ob noch Geld verfügbar ist oder wohin es gegangen ist, und welche nächsten Schritte möglich sind. Bei Diebstahl ist eine Anzeige bei der Online-Wache einer davon, und der Bericht ist dann eine starke Anlage, die alles vollständig und klar darstellt. Lesen Sie auch was sich nach Phishing oder einem Hack wiederherstellen lässt und Adressüberwachung nach einem Vorfall.

• Kosten: jede Untersuchung ist maßgeschneidert. Sie erhalten vorab ein individuelles Angebot, das wir gemeinsam durchgehen, ohne Überraschungen.
• Dauer: vom selben Tag bis etwa zwei Wochen.

Sind Sie betroffen? Nehmen Sie Kontakt auf für ein kostenloses Erstgespräch, oder rufen Sie +31 20 244 5774 an. Die Blockchain vergisst nichts, auch wenn es schon eine Weile her ist. Mehr zu unserer Arbeitsweise: Blockchain-Analyse erklärt.

Quellen: Coinkite, Coldcard Security Advisory; Coinkite, technische Erläuterung zur Entropie; Coldcard, Status korrigierter Firmware; Polizei, Online-Wache.