Eine Schwachstelle in Coldcard-Hardware-Wallets macht Seed-Phrases vorhersehbar. Die Coldcard seed phrase Sicherheitslücke erlaubt es Angreifern, Seeds zu berechnen und so Bitcoin abzugreifen – ganz ohne physischen Zugriff. Laut Analysen wurden bereits rund 130 Millionen Dollar gestohlen. Nutzer sollten Geräte aktualisieren und sofort zu neuen Seed-Phrases migrieren. Die Nachricht trifft viele hart: Hacker greifen derzeit gezielt Besitzer von Coldcard-Hardware-Wallets an und haben laut Galaxy Research bereits mehr als 130 Millionen Dollar erbeutet. Tom Robinson von Elliptic bestätigt, dass diese Größenordnung plausibel ist. Besonders brisant: Es handelt sich nicht um einzelne Täter, sondern offenbar um mehrere Gruppen, die dieselbe Schwachstelle ausnutzen. Das macht die Welle an Diebstählen schwerer berechenbar – und erhöht den Druck, schnell zu handeln. Coldcard gilt eigentlich als robuste „Cold“-Lösung, also als Wallet, die offline bleibt. Bitcoins liegen zwar weiter auf der Blockchain, aber der Zugriff erfolgt mit einer Seed-Phrase, die idealerweise nur das Gerät kennt. Gerade deshalb überrascht dieser Angriff: Er zielt nicht auf Server, Apps oder Exchanges, sondern auf ein Herzstück der Sicherheit – die Erzeugung der Seed-Phrase selbst.

Was passiert ist: Vorhersehbare Seeds in Coldcard

Sicherheitsforscher bei Block fanden heraus, dass es in der Firmware von Coldcard einen Fehler gab, der die erzeugten Seed-Phrases vorhersagbarer machte. Statt echter, starker Zufälligkeit kam es zu einer Situation, in der Angreifer Seeds ableiten konnten. Im Ergebnis mussten sie keine Tresore knacken oder Geräte manipulieren. Sie konnten Seeds rechnerisch erzeugen und damit die zugehörigen Bitcoins bewegen. Galaxy Research berichtet von mindestens einem Dutzend unterschiedlicher Akteure, die Coldcard-Besitzer im Visier haben. Der Angriff läuft also parallel an mehreren Fronten. Das verstärkt den Schaden und erschwert die Zuordnung. Elliptic sieht die Schätzung von rund 130 Millionen Dollar Verlusten als realistisch an. Für das laufende Jahr ist das kein Einzelfall, sondern ein weiterer großer Vorfall in einer langen Reihe: TRM Labs zählt mehr als 200 Angriffe auf Kryptofirmen und -dienste, die zusammen über 950 Millionen Dollar gekostet haben. Doch dieser Fall ragt heraus, weil er eine Annahme ins Wanken bringt: dass Cold-Wallets per se sicherer sind.

Warum die Coldcard seed phrase Sicherheitslücke so gefährlich ist

Ein Seed ist nur dann sicher, wenn er nicht vorhersagbar ist. Das ist das ganze Prinzip hinter zufällig generierten Schlüsseln. Laut den Forschern bei Block führte der Fehler in der Coldcard-Firmware dazu, dass die erzeugten Seeds berechenbar wurden. Angreifer mussten daher nicht das Aufbewahrungssystem angreifen, sondern konnten die Türschlüssel im Labor nachmachen – in großem Stil.

Cold- vs. Hot-Wallet: Kurzer Überblick

– Hot-Wallets sind online. Sie stecken in Apps, Browser-Erweiterungen oder bei Börsen wie Binance oder Coinbase. Sie sind bequem, aber anfälliger für Online-Angriffe. – Cold-Wallets sind offline. Geräte wie die Coldcard sollen die Seed-Phrase vom Netz fernhalten. Das verringert viele Risiken – aber nur, wenn der Seed wirklich stark und zufällig ist. In diesem Fall liegt der Fehler genau dort. Die Coldcard seed phrase Sicherheitslücke unterläuft den zentralen Sicherheitsvorteil des Offline-Betriebs. Denn wer den Seed vorhersagen kann, braucht kein Netzwerkzugriff, keine Malware und keinen physischen Diebstahl. Die Kontrolle über die Coins fällt dann mit der richtigen Berechnung.

Von Zufall zu Vorhersage: der Kern des Fehlers

Die Forscher bei Block sprechen von einer problematischen Zufallsbehandlung in der Firmware, die Seeds berechenbar machte. Damit wird aus einem eigentlich astronomisch großen Suchraum ein Feld, das sich mit Rechenaufwand durchkämmen lässt. Aus „praktisch unmöglich“ wird „praktisch machbar“. Genau das haben mehrere Hackergruppen genutzt: Sie generieren potenzielle Seeds, prüfen die passenden Adressen und räumen die gefundenen Guthaben ab.

„Ich tat alles richtig“: Was der Fall Goodman zeigt

Der Nutzer Jonathan Goodman beschreibt, wie er 1,6 Millionen Dollar verlor – trotz vorbildlicher Vorsicht. Er teilte seine Seed-Phrase mit niemandem, die Geräte blieben offline, die Sicherungen lagen in Safes und Schließfächern. „Keines davon spielte eine Rolle“, schrieb er. Er verweist auf „eine Codezeile aus 2021“, die den Fehler auslöste. Der Punkt ist klar: Der Schutz stand und fiel mit der Qualität der Seed-Erzeugung. War diese schwach, half selbst perfekte Disziplin nichts. Genau hier liegt die bittere Lehre. Security-Modelle setzen Schichten voraus: gute Hardware, saubere Software, starke Zufallsquellen, umsichtiges Nutzerverhalten. Fällt eine Kernschicht aus, kippt das Gesamtbild. Die Coldcard seed phrase Sicherheitslücke zeigt, wie eine einzige Schwachstelle eine ganze Verteidigungslinie aushebeln kann.

Was Nutzer jetzt tun sollten

Coinkite hat einen Hinweis veröffentlicht, ihn später aktualisiert und Nutzer zum Handeln aufgefordert. Der empfohlene Weg ist klar:

• Geräte aktualisieren: Das Unternehmen ruft dazu auf, die betroffenen Coldcard-Wallets zu updaten.
• Zu einem neuen Seed migrieren: Nach dem Update sollen Nutzer eine neue Seed-Phrase erzeugen und ihre Guthaben darauf umziehen.

Diese Schritte stammen direkt aus dem Hinweis von Coinkite. Wer vermutet, von der Coldcard seed phrase Sicherheitslücke betroffen zu sein, sollte sich an diese Reihenfolge halten. Die Logik dahinter ist einfach: Ein Update sorgt dafür, dass die künftige Seed-Erzeugung wieder stark und nicht vorhersagbar ist. Die Migration trennt Ihre Coins von dem möglicherweise gefährdeten alten Seed. Wichtig ist zudem Tempo. Laut Galaxy Research sind mehrere Gruppen aktiv, und die Summen steigen. Wer eine Coldcard nutzt und noch nicht reagiert hat, riskiert, dass Angreifer die alten Seeds schneller berechnen, als man handeln kann.

Warum „offline“ hier nicht hilft

Viele Nutzer vertrauen auf das Offline-Prinzip. Das ist in der Regel vernünftig. Doch hier liegt das Problem eine Schicht tiefer. Wenn die Quelle des Zufalls schwach ist, ist es egal, wo der Seed gespeichert wird. Offline schützt gegen Netzangriffe. Er schützt nicht gegen einen fehlerhaft erzeugten Schlüssel. Genau deshalb wiegt dieser Fehler so schwer.

Einordnung: Was der Vorfall über Kryptosicherheit sagt

Die aktuelle Welle reiht sich in ein Rekordjahr für Kryptodiebstähle ein. TRM Labs zählt mehr als 200 Hacks mit über 950 Millionen Dollar Schaden. Die Ursachen sind verschieden: fehlerhafte Smart Contracts, Phishing, Exchange-Hacks – und nun Fehler in der Seed-Erzeugung von Hardware-Wallets. Das gemeinsame Muster: Angreifer suchen systematische Schwachpunkte, die sich skalieren lassen. Die Coldcard seed phrase Sicherheitslücke passte exakt in dieses Schema. Statt einzelne Nutzer auszutricksen, lassen sich viele Ziele mit demselben technischen Ansatz treffen.

Lehren für Hersteller und Nutzer

– Zufall ist eine Kernressource. Wenn der Zufallszahlengenerator versagt, versagt das ganze System. – Transparente Hinweise sind entscheidend. Coinkite hat Nutzer gewarnt, zu Updates aufgerufen und zur Migration geraten. Solche Hinweise müssen schnell und klar erfolgen. – Das Sicherheitsmodell ist nur so stark wie seine schwächste Schicht. Nutzerdisziplin allein reicht nicht, wenn die Seed-Erzeugung fehlerhaft ist.

Ausblick

Noch ist unklar, wer genau hinter den Diebstählen steckt. Galaxy Research sieht mehrere Gruppen am Werk. Elliptic bestätigt die Größenordnung der Verluste. Coinkite hat reagiert und rät zu Update und Migration. Mehr Details werden folgen. Für Betroffene zählt jetzt vor allem die Umsetzung der empfohlenen Schritte. Die Lektion bleibt: Vertrauen in Cold-Wallets ist berechtigt, aber nicht bedingungslos. Der Schutz beginnt bei der Qualität der Seed-Erzeugung. Die Coldcard seed phrase Sicherheitslücke hat gezeigt, dass selbst ein Offline-Gerät zum Risiko wird, wenn die Grundlage nicht stimmt. Wer Coldcard nutzt, sollte das Update durchführen, zu einem neuen Seed wechseln und die eigene Sicherungskette kritisch prüfen. So lässt sich der Schaden begrenzen – und das Vertrauen in die eigene Aufbewahrung wiederherstellen. Am Ende geht es um Verantwortung auf beiden Seiten: Hersteller müssen robuste, geprüfte Seed-Erzeugung liefern und bei Problemen schnell informieren. Nutzer müssen Hinweise ernst nehmen und zügig handeln. Nur dann bleibt die zentrale Stärke von Bitcoin-Wallets bestehen: Kontrolle durch starke, unvorhersagbare Schlüssel – und nicht durch Hoffnung. Die Coldcard seed phrase Sicherheitslücke erinnert uns daran deutlicher als jeder Vortrag. (pSource: https://techcrunch.com/2026/08/04/hackers-steal-over-130-million-by-exploiting-bug-in-offline-hardware-wallets/)

For more news: Click Here

FAQ