Coldcard-Sicherheitslücke: Bist du betroffen und was musst du jetzt tun?

⏱ Lesezeit: ca. 17 Minuten

Zuletzt aktualisiert: 1. August 2026. Die Untersuchung läuft, wir aktualisieren diesen Beitrag laufend.

Bist du betroffen?

Entscheidend ist ausschließlich, mit welcher Firmware der Seed erzeugt wurde. Nicht, welche Firmware heute auf dem Gerät läuft. Und auch nicht, wann du es gekauft hast. Wenn du den Seed damals exportiert und auf ein anderes Gerät übertragen hast, bleibt er genauso schwach, egal welcher Marke dieses Gerät ist. Daraus folgt ein unbequemer Punkt: Wenn deine Wörter nur auf Papier oder Metall existieren und du nicht mit Sicherheit sagen kannst, welches Gerät sie erzeugt hat, musst du vom schlechteren Fall ausgehen. Das betrifft geerbte Seeds, Wallets, die jemand anderes für dich eingerichtet hat, alte Sicherungen und längst verkaufte Geräte. Nachträglich lässt sich das nicht mehr klären. Zwölf Wörter aus echtem physikalischem Rauschen und zwölf Wörter aus einem Zähler sehen exakt gleich aus. Keine Prüfung an der Phrase selbst kann sie unterscheiden. Zwei Einschränkungen gehören zur Ehrlichkeit dazu. Eine schwache oder kurze Passphrase kauft dir nur Zeit, sie wird geknackt werden. Und ob wirklich alle abgeflossenen Bitcoin über genau diesen Fehler verloren gingen, ist offiziell noch nicht abschließend belegt.

Was du jetzt tun solltest

Ruhe bewahren, aber zügig handeln. Panik führt zu Fehlern. Und Fehler kosten hier ebenfalls Geld.
1. Prüfe, wann und womit dein Seed entstanden ist. Falls du es nicht mehr weißt, geh vom schlechteren Fall aus.
2. Erzeuge einen neuen Seed auf einem nicht betroffenen Gerät. Am schnellsten geht es, wenn du eine andere Hardware-Wallet besitzt. Sonst zuerst die Notfall-Firmware installieren, dann neu erzeugen.
3. Sichere das neue Backup sorgfältig, am besten offline auf Metall. Prüfe den Wallet-Fingerprint und eine Empfangsadresse auf dem Gerätedisplay.
4. Schick zuerst einen kleinen Testbetrag und warte die Bestätigung ab. Erst danach den Rest.
5. Behalte das alte Backup, bis alles überprüft und angekommen ist.
6. Denk an alles, was am selben Seed hängt. Dazu gleich mehr, dieser Punkt wird am häufigsten übersehen.

Was ist passiert?

Am 30. Juli 2026 wurden innerhalb von rund 25 Minuten etwa 594 Bitcoin aus ungefähr 500 Wallets abgezogen, verteilt über nur vier aufeinanderfolgende Blöcke. Viele dieser Wallets waren jahrelang unberührt, die Beträge lagen meist zwischen 0,15 und 0,26 Bitcoin. Alle betroffenen Adressen waren Einzelsignatur-Adressen. Seitdem ist das Bild deutlich größer geworden. Galaxy Research kommt für diesen ersten Zugriff auf rund 1.083 Bitcoin aus etwa 1.195 Adressen, abgeflossen in gut vierzig Minuten, nach damaligem Kurs etwa 70 Millionen US-Dollar. Die Analysefirma Chainalysis ordnet dem Fehler Bitcoin im Wert von über 38 Millionen US-Dollar zu. Die Zahlen unterscheiden sich, weil beide unterschiedlich streng zuordnen. Noch am selben Tag veröffentlichte das Sicherheitsteam von Block, dem Unternehmen von Jack Dorsey, gemeinsam mit anonymen Sicherheitsforschern eine detaillierte technische Analyse. Block betont darin, dass die Veröffentlichung bewusst früh erfolgte, weil die Schwachstelle bereits aktiv ausgenutzt wird. Coinkite gab parallel eine eigene Warnung heraus, zunächst nur für die Mk3.

Welche Geräte betroffen sind

Die erste Warnung von Coinkite bezog sich nur auf die Mk3. Mk4, Mk5 und Q hielt das Unternehmen zunächst für nicht betroffen. Erst die Analyse von Block machte deutlich, dass alle aktuellen Modelle dieselbe fehlerhafte Konstruktion nutzen. Inzwischen hat Coinkite für alle betroffenen Modelle korrigierte Firmware veröffentlicht, auch für die eigentlich nicht mehr gepflegte Mk3. Für Mk4 und Mk5 ist es Version 5.6.0, für die Q Version 1.5.0Q. Welche Version für dein Gerät gilt, prüfst du am besten direkt in der Herstellerwarnung, die Angaben wurden mehrfach nachgeschärft. Die neuen Versionen erzwingen die Nutzung des echten Zufallsgenerators und prüfen das bereits beim Erstellen der Firmware.

Der Kern des Problems: der Zufall

Dein privater Schlüssel entsteht aus einer riesigen Zufallszahl. Je zufälliger sie wirklich ist, desto aussichtsloser wird es für einen Angreifer, sie zu erraten. Eine gute Hardware-Wallet nutzt dafür einen echten Hardware-Zufallsgenerator, der physikalisches Rauschen im Chip misst. Genau dieser Weg war abgeschaltet. Eine Programmbibliothek prüfte nur, ob eine bestimmte Einstellung im Code existiert, nicht ob sie auch aktiviert ist. Sie war vorhanden, aber auf null gesetzt. Also band sich die Software stillschweigend an einen simplen Software-Zufallsgenerator, der aus der festen Chip-Kennung und aus Zeitzählern gespeist wird. Solche Werte sehen zufällig aus. Sie sind aber fest, beobachtbar oder zumindest stark eingrenzbar. Für die neueren Modelle kursiert die Zahl 72 Bit. Sie stammt aus Coinkites eigener Aufarbeitung und ist dort ausdrücklich als vorläufig gekennzeichnet. Andere Fachleute kommen zu ungünstigeren Werten: Die Analyse von Block hält die Absicherung durch das Secure Element effektiv für auf gut vier Milliarden Möglichkeiten begrenzt. Der Wallet-Hersteller Wizardsardine nennt Schätzungen zwischen 50 und 60 Bit. Entscheidend ist eine Einschränkung, die alle drei teilen: Die 72 Bit gelten nur für einen Angreifer, der weder die Chip-Kennung noch den Startzeitpunkt des Geräts kennt. Wer beides ermitteln kann, steht vor deutlich weniger. Bei einem gezielt ausgewählten Opfer ist das keineswegs abwegig. Die ehrliche Aussage lautet also: irgendwo zwischen teuer und billig, je nachdem was der Angreifer über dein Gerät weiß. Von den vorgesehenen 128 Bit ist es in jedem Fall weit entfernt.

Ein einziges Zeichen

Das Bemerkenswerteste an diesem Fall: Die Entwickler hatten an genau diese Gefahr gedacht. In den Code war eine Schutzmaßnahme eingebaut, die den Bau der Firmware abbrechen sollte, falls der echte Zufallsgenerator nicht verfügbar ist. Die Umstellung lässt sich sogar auf den Tag datieren. Sie kam am 1. März 2021 mit dem Wechsel auf eine neue Programmbibliothek in die Firmware. Vorher las der Code den Zufallsgenerator direkt aus, korrekt und zuverlässig. An anderer Stelle tut er das bis heute, etwa bei der Verschlüsselung von Sicherungen. Nur die Seed-Erzeugung hörte auf, mit ihm zu sprechen. Ausschließlich sie. Bei Mk4, Mk5 und Q kam ein Jahr später eine zusätzliche Absicherung dazu, die beim Start Zufall aus zwei Secure Elements einmischt. Sie war nicht als Reparatur gedacht, denn der Fehler war zu diesem Zeitpunkt niemandem bekannt. Coinkite beschreibt sie als Absicherung einer Absicherung. Genau diese zufällige Zusatzschicht hat das eigentliche Problem vier Jahre lang verdeckt.

Der Fehler reicht weiter als bis zum Seed

Dieser Abschnitt wird am häufigsten übersehen. Für viele ist er der eigentlich teure Teil. Derselbe kaputte Zufallsgenerator versorgt nämlich noch etliche andere Funktionen. BIP85-Wallets. Hast du aus deinem Coldcard-Seed weitere Schlüssel abgeleitet, erben diese die Schwäche. Und das reicht weit über Bitcoin hinaus: Auf diesem Weg erzeugte Nostr-Schlüssel, Lightning-Node-Seeds, SSH-Schlüssel und Passwörter für E-Mail- oder Börsenkonten müssen alle ersetzt werden. Dasselbe gilt für die Notfall-Wallets hinter einer zweiten PIN und für die Zwei-Faktor-Absicherung per Speicherkarte. Paper Wallets. Hier wird der Zufallswert direkt als privater Schlüssel verwendet, ohne Umweg über BIP39. Die zugehörige öffentliche Adresse verrät einem Angreifer sofort, ob er richtig geraten hat. Die Option, den Schlüssel zu würfeln, umgeht diesen Weg. Seed-XOR mit Zufallsmasken. Wer seinen Seed in Teile aufgeteilt hat und dabei den zufälligen Modus gewählt hat, sollte die Teilung als angreifbar betrachten. Der voreingestellte deterministische Modus ist nicht betroffen. Die Klon-Funktion, auch bei gewürfelten Seeds. Beim Übertragen auf ein zweites Gerät handeln beide Coldcards über die Speicherkarte einen Schlüssel aus. Weil auch dieser aus dem fehlerhaften Generator stammt, kann jeder, der die Klon-Datei in die Hände bekommt, ihn nachrechnen und den Seed im Klartext auslesen. Das trifft selbst Menschen, die ihren Seed selbst gewürfelt haben.

Key Teleport, Web2FA, Secure Notes, HSM-Modus, Mitunterzeichnung. Auch diese Funktionen ziehen ihre Schlüssel und Passwörter aus derselben Quelle. Beim Passwort-Generator sind zwei Modi betroffen. Die so erzeugten Passwörter schützen oft Konten, die mit Bitcoin gar nichts zu tun haben.

Wie viel eine Passphrase wirklich taugt

Die BIP39-Passphrase gilt als Rettungsanker. Für sehr starke Passphrasen stimmt das auch. Die Einschränkung dabei wird aber selten genannt. Bei der Umrechnung von Seedphrase und Passphrase in den eigentlichen Schlüssel kommt ein Verfahren zum Einsatz, das absichtlich rechenaufwendig sein soll. Bei BIP39 sind dafür 2.048 Durchläufe vorgesehen. Das ist nach heutigen Maßstäben sehr wenig. Sobald der Seed bekannt ist, kostet das Durchprobieren einer Passphrase praktisch nichts mehr. Praktisch heißt das: Eine kurze, merkbare oder anderswo schon verwendete Passphrase wird fallen. Schnell und in großem Stil. Nur eine lange, zufällig erzeugte Passphrase bietet echten Schutz. Wizardsardine formuliert es für den Normalfall drastisch: Betrachte deine Passphrase als unsicher. Wer sich nicht ganz sicher ist, wie stark seine Passphrase wirklich ist, sollte sich auf sie nicht verlassen.

Der Multisig-Irrtum, der teuer werden kann

Hier lohnt genaues Hinsehen, denn viele Berichte verkürzen es falsch. Oft liest man, ein einziges nicht betroffenes Gerät im Verbund genüge. Das stimmt so nicht. Genau deshalb ist Multisig über mehrere Hersteller hinweg mehr als Bequemlichkeit. Es ist der einzige Aufbau, bei dem der Ausfall eines Herstellers nicht das ganze Modell umwirft. Dass in diesem Fall ausschließlich Einzelsignatur-Adressen geleert wurden, ist kein Zufall.

Und die Privatsphäre?

Ein Punkt, der bisher kaum diskutiert wird, aber auf den Kevin Loaec vom Wallet-Hersteller Wizardsardine hingewiesen hat: Wenn ein Seed praktisch öffentlich berechenbar ist, dann ist es auch die gesamte Geschichte dieser Wallet. Jede Adresse, jede Transaktion, jeder Zusammenhang. Das trifft sogar Menschen, die nie eine Coldcard besessen haben. Wer in der Vergangenheit gemeinsame Transaktionen wie CoinJoin genutzt hat, dessen Anonymitätsmenge schrumpft um jeden Teilnehmer, dessen Wallet sich nun zuordnen lässt. Privatsphäre ist eben nichts, was man allein herstellt.

Warum „Airgapped" nicht automatisch „sicher" heißt

Coldcard wurde jahrelang vor allem mit einem Argument beworben: Airgap. Das Gerät hat keine Kabel- oder Funkverbindung zu einem Computer, Transaktionen laufen über MicroSD-Karte oder QR-Code. Das klingt nach maximaler Sicherheit. In mancher Hinsicht ist es das auch. Dieser Vorfall zeigt aber, wo die Grenze liegt. Wenn der Seed von Anfang an nicht wirklich zufällig erzeugt wird, nützt die beste Isolation vom Internet nichts. Der Fehler steckt bereits im Fundament, bevor überhaupt eine Verbindung zu irgendetwas besteht. Ein einzelnes starkes Merkmal ersetzt keine Sicherheitsarchitektur.

Wie andere Hersteller mit dem Zufall umgehen

Ein Begriff taucht gerade überall auf: die Diversifikation von Entropiequellen. Statt sich auf eine einzige Zufallsquelle zu verlassen, kombinieren manche Geräte mehrere unabhängige Quellen. Fällt eine aus, sichern die übrigen den Seed ab. BitBox02. Bei der Seed-Erzeugung fließen Zufallsdaten aus mehreren unabhängigen Quellen zusammen: dem Mikrocontroller, einem separaten Secure Chip und zusätzlich vom angeschlossenen Computer. Ehrlicherweise gehört dazu: Auch hier sitzt Software zwischen Zufallschip und Seed. Die Secure-Element-Komponente ist zudem nicht quelloffen, während der Rest offen einsehbar ist. Ein Build-Fehler wie bei Coldcard ist grundsätzlich bei jedem Gerät dieser Bauart denkbar. Die Mehrquellen-Architektur ist also kein Freifahrtschein, aber auch kein Argument gegen das Gerät. Trezor. Ähnliches Prinzip: Beim Model One und Model T wird Zufall aus dem Mikrocontroller mit Entropie vom Computer oder Smartphone kombiniert. Bei Safe 3 und Safe 5 kommt ein Secure Element als weitere Quelle hinzu. Das Unternehmen hat sich inzwischen öffentlich geäußert und erklärt, die eigenen Nutzer seien nicht betroffen, weil der fehlerhafte Code aus Coldcards eigener Firmware stammt und man seit jeher mehrere unabhängige Zufallsquellen mische. SeedSigner. Konzeptionell ein anderer Weg. Der SeedSigner ist vollständig quelloffen, läuft auf gewöhnlicher Raspberry-Pi-Hardware ohne Secure Element und folgt bewusst dem Do-it-yourself-Gedanken. Für die Seed-Erzeugung empfiehlt das Projekt sogar ausdrücklich echte Würfel, statt sich allein auf den Software-Zufall zu verlassen. Damit umgeht der SeedSigner das Coldcard-Problem strukturell, denn die Entropiequelle steckt nicht in geschlossener Hardware, sondern liegt sichtbar auf dem Tisch. Dafür handelt man sich andere Nachteile ein: Selbst zusammengebaute Hardware ist schlechter gegen Manipulation geschützt als ein zertifiziertes Secure Element.

Den Seed selbst würfeln

Die einzige Gruppe, die von diesem Vorfall nach aktuellem Stand verschont blieb, sind Menschen, die ihre eigene Entropie eingebracht haben. Coinkite setzt die Grenze bei mindestens 50 Würfen. Die drei Bedingungen dahinter haben Gewicht: Der Würfel muss fair sein, jeder Wurf muss wirklich neu gewürfelt sein. Und niemand darf zugesehen, gefilmt oder mitgeschrieben haben. Zufall, den jemand anderes gesehen hat, ist kein Zufall mehr. Wer unter 50 liegt, gilt als betroffen. Eine Einschränkung gehört auch hier dazu: Gegen die kaputte Klon-Funktion hilft Würfeln nicht. Das ist die eigentliche Lehre in praktischer Form. Wer würfelt, muss dem Zufallsgenerator seines Geräts nicht mehr vertrauen, weil er ihn nachprüfen kann. Physische Würfel haben keine Firmware, keinen Hersteller und keine Lieferkette. Wie das Schritt für Schritt geht, vom ersten Wurf bis zum fertigen Wort, haben wir in einem eigenen Leitfaden aufgeschrieben, inklusive der beiden Vorlagen zum Ausdrucken.

Wenn dich der Diebstahl schon getroffen hat

Falls aus deiner Wallet bereits Bitcoin abgeflossen sind, lässt sich daran nichts mehr ändern. Bitcoin-Transaktionen sind endgültig. Trotzdem gibt es Dinge, die du jetzt tun solltest. Sichere zuerst alle Belege: die Transaktionsnummern des Diebstahls, die betroffenen Adressen, Gerätemodell und Firmware-Version sowie den ungefähren Zeitpunkt und die Art, wie der Seed damals entstanden ist. Coinkite hat angekündigt, Betroffene zu unterstützen, die Anzeige erstatten, Ansprüche bei einer Versicherung geltend machen oder selbst ermitteln lassen wollen. Das Unternehmen stellt dafür eine schriftliche Zusammenfassung des Vorfalls für den jeweiligen Einzelfall bereit und arbeitet mit Ermittlungsbehörden zusammen. Und ein Punkt, so bitter er ist: Es werden Angebote auftauchen, gestohlene Bitcoin gegen Gebühr zurückzuholen. Das ist nicht möglich. Wer das verspricht, will nur ein zweites Mal an dein Geld.

Wurde der Fehler mit KI gefunden?

Eine Frage beschäftigt die Community seit gestern besonders: Wie kann ein Fehler fünf Jahre lang in öffentlich einsehbarem Code liegen, ohne dass jemand ihn bemerkt? Und warum wird er ausgerechnet jetzt ausgenutzt? Coinkite selbst hat dazu eine unbequeme Vermutung geäußert. Das Unternehmen geht davon aus, dass jemand ältere Versionen der Firmware mit Hilfe eines KI-Modells durchsucht hat. Solche Modelle können inzwischen große Mengen Code auf Muster prüfen, die einem menschlichen Prüfer entgehen. Bestätigt ist die KI-Theorie nicht, sie bleibt vorerst eine Vermutung des Herstellers. Für dich als Nutzer ändert sie ohnehin nichts an den nötigen Schritten. Wohl aber an einer Erwartung: Alter Code ist nicht deshalb sicher, weil er lange unauffällig war. Er wurde nur bisher nicht gründlich genug angeschaut.

Die eigentliche Lehre

Der Coldcard-Fall zeigt weniger, dass ein bestimmtes Gerät unsicher wäre. Er zeigt, dass ein geschlossener Pfad zwischen Zufallschip und fertigem Seed ein einzelner Schwachpunkt ist, den man von außen kaum überprüfen kann. Die Firmware war die ganze Zeit über öffentlich einsehbar. Trotzdem fiel der Fehler über fünf Jahre lang niemandem auf, dem Hersteller eingeschlossen. Der Auslöser war eine einzige Zeile, die das Falsche prüfte. Quelloffenheit allein genügt eben nicht, es braucht auch Menschen, die tatsächlich hinschauen. Deshalb ist der Gedanke, die eigene Entropie selbst zu erzeugen und nachprüfen zu können, keine Spielerei für Technikbegeisterte. Er ist die einzige Absicherung, die unabhängig davon funktioniert, wie gut ein Hersteller arbeitet.

Zum Nachhören

Wenn du das Thema lieber gesprochen aufbereitet magst: Der deutschsprachige Bitcoin-Podcast „Münzweg" hat dem Vorfall eine eigene Folge gewidmet und geht dabei ebenfalls verständlich auf die Hintergründe ein. Hier geht es zur Folge.

Fazit

Dieser Vorfall ist ernüchternd, gerade weil er ein Gerät betrifft, das jahrelang als Goldstandard für Airgap-Sicherheit galt. Er zeigt aber auch, wie wichtig es ist, Bitcoin-Sicherheit nicht an einem einzigen Schlagwort festzumachen, sondern das Gesamtbild zu verstehen: von der ersten Zufallszahl bis zur fertigen Transaktion. Wer sich mit den Grundprinzipien vertraut macht, also mit Entropie, Passphrase, Multisig und Diversifikation, ist nicht nur bei diesem Vorfall besser geschützt. Er ist generell widerstandsfähiger gegenüber Fehlern, die auch dem besten Hersteller einmal passieren können. In den vergangenen Tagen war mehrfach zu lesen, der Vorfall stelle die Selbstverwahrung insgesamt infrage und treibe Anleger zurück in verwahrte Produkte. Diese Schlussfolgerung teilen wir nicht. Verloren gingen hier ausschließlich Bitcoin in Einzelsignatur-Wallets eines einzelnen Herstellers. Wer gewürfelt, eine starke Passphrase genutzt oder über mehrere Hersteller verteilt hatte, war geschützt. Das sind genau die Werkzeuge, die die Selbstverwahrung bereitstellt. Ein Anbieter, der deine Schlüssel verwahrt, hat dieselben technischen Risiken. Nur kannst du dort nichts davon selbst prüfen und erfährst im Zweifel erst hinterher davon. Bitcoin gibt dir die Möglichkeit, deine eigene Sicherheit vollständig selbst in die Hand zu nehmen. Genau das ist auch die Verantwortung, die damit einhergeht. Und genau dabei wollen wir dich unterstützen.

Dieser Beitrag dient ausschließlich der Bildung und Information, er stellt keine Anlageberatung dar. Stand: 31. Juli 2026. Die Untersuchung ist nicht abgeschlossen, Einschätzungen können sich kurzfristig ändern. Prüfe im Zweifel immer die aktuelle Warnung des Herstellers.

Quellen: Technische Analyse von Block Engineering; Sicherheitswarnung von Coinkite; Analysen von Galaxy Research und Chainalysis zur Schadenshöhe; die ausführliche technische Analyse von Kevin Loaec und Team bei Wizardsardine; eigene Auswertung der betroffenen Adressen aus den Blöcken 960183 bis 960455, stichprobenartig gegen mempool.space verifiziert; öffentliche Einschätzungen von Kevin Loaec (Wizardsardine), Jameson Lopp (Casa) und Rob Hamilton (AnchorWatch).

Das könnte dich auch interessieren

Multi
sig

Mehrere Schlüssel statt einem: Multisig verständlich erklärt

Zum Artikel ›

Seed
Check

Cold-Storage-Sommercheck: Seed und Wallet richtig prüfen

Zum Artikel ›

🔔 Die Untersuchung läuft weiter. Wir ordnen neue Erkenntnisse sachlich ein: Newsletter abonnieren