Coldcard-Hack setzt Bitcoin-Self-Custody unter Druck
Ein Firmwarefehler aus dem Jahr 2021 betraf Tausende Coldcard-Wallets und führte zu einem Diebstahl von fast 1.600 BTC. Der Fall rückt Hardware Wallets und Multisig als Self-Custody-Lösung noch stärker in den Fokus.
Wichtigste Erkenntnisse
- Ein Firmwarefehler in Coldcard-Hardware Wallets aus dem Jahr 2021 führte zu einem größeren Sicherheitsvorfall rund um Bitcoin Self-Custody.
- Angreifer erbeuteten fast 1.600 BTC im Wert von mehr als 100 Millionen US-Dollar aus rund 7.300 Adressen.
- Die Branche reagiert mit Patches, Meldungen an Ermittlungsbehörden und einem stärkeren Fokus auf mehrschichtige Sicherheit, etwa durch Multisig.
Ein fünf Jahre alter Firmwarefehler in Coldcard-Hardware Wallets hat einen der größten jüngeren Sicherheitsvorfälle im Bereich der Bitcoin-Self-Custody ausgelöst. Seit vergangenem Donnerstag räumten Angreifer Tausende Wallets leer. Nach Angaben von Galaxy Research wurden dabei fast 1.600 BTC im Gegenwert von mehr als 100 Millionen US-Dollar (86,6 Millionen Euro) aus rund 7.300 Adressen abgezogen.
Wie der Angriff ablief
Die Schwachstelle steckte in einem Firmware-Update vom März 2021 für die Bitcoin-only Wallet von Coinkite. Dadurch waren Private Keys offenbar weniger gut abgesichert, als Nutzer es erwarten durften. Der Angriff lief in drei Wellen und traf vor allem Anwender, die ihre Coins eigentlich sicher selbst verwahren wollten.
Swan Bitcoin, eine US-Plattform zum Kaufen, Aufbewahren und Selbstverwalten von Bitcoin, reagierte umgehend mit zusätzlichen Schutzmaßnahmen. Das Unternehmen setzte Auszahlungen für Kunden mit Risiko vorübergehend aus, verschickte Warnhinweise in der App und weitete die Unterstützung bei der Migration auch über den eigenen Kundenstamm hinaus aus. CEO Cory Klippsten sagte, das Team habe alles andere zurückgestellt, um Kunden anzurufen, und später auch allen geholfen, die Unterstützung benötigten.
Reaktion aus der Branche
Eine Woche später liegen laut den vorliegenden Angaben noch immer fast 90 Prozent der gestohlenen Coins unverändert auf der Blockchain. Die bestätigten Adressen des Angreifers wurden an die US-amerikanischen Bundesermittler übermittelt, während Coinkite alle betroffenen Geräteserien mit einem Patch versehen hat. Ein freiwilliges Team, das von OpenSats finanziert wurde, prüfte mehr als 150 Open-Source-Repositories und fand keine Hinweise darauf, dass das Problem über Coldcard hinausging.
Coldcard gilt seit Längerem als Bitcoin-only Hardware Wallet mit Funktionen, die gezielt auf zusätzliche Sicherheit ausgelegt sind, etwa air-gapped Transaktionen per microSD und ein transparentes Gehäuse, das physische Manipulation sichtbar machen soll. Gerade deshalb wiegt der Vorfall besonders schwer, weil er eine Produktkategorie trifft, die stark auf Vertrauen in lokale Sicherheit setzt.
Warum das relevant ist
Der Hack hat die Debatte über Self-Custody erneut befeuert. Laut Klippsten ziehen sich Nutzer jedoch nicht in größerem Stil zurück. Stattdessen suchen sie häufiger nach Wegen, Bitcoin gegen einen einzelnen Fehlerpunkt robuster abzusichern, etwa über collaborative Multisig. Für europäische Krypto-Nutzer dürfte das relevant sein, weil der Fall zeigt, dass Sicherheit in der Praxis oft auf mehreren Ebenen aufgebaut wird und nicht allein von einer Hardware Wallet abhängt.
Ein Teil des Marktes reagierte schon früher vorsichtiger auf den Exploit: Nachdem die Schwachstelle bekannt wurde, bewegten sich ältere Wallets in größerem Umfang, wie bei einer älteren Bitcoin-Wallet, die 31 Millionen US-Dollar verschob.
