Brüder, auch der Hardware-Wallet ist diesmal der Boden weggebrochen: Coldcard-Firmware hat einen Bug, nach 25 Minuten wurden mehrere Dutzend Millionen US-Dollar abgezogen. Ist der Begriff „Self-Custody“ jetzt nicht vielleicht neu zu überdenken?

Das Ganze ist ziemlich heftig. Die Galaxy Research hat die Zahlen, die sie in den letzten Tagen bestätigt hat, im Detail überprüft: 1196 Adressen, insgesamt 1082,65 BTC, in einem Zeitfenster von 41 Minuten war alles weg. Ursache war ein Bug beim Erstellen der Firmware – nicht, dass private Schlüssel gestohlen wurden, nicht Phishing, sondern dass die Hardware-Wallet selbst auf Code-Ebene ein Problem hatte.
CZ ist sogar persönlich rausgekommen und hat dazu gesagt, dass auch Hardware-Wallets Bugs haben können. Er empfiehlt, die Gelder zu splitten und auf verschiedene Wallets zu verteilen und nicht alle Eier in ein einziges Hardware-Gerät zu legen.

Ich finde, diese Nachricht sollte man mit @BabylonLabs_io, das die ganze Zeit „Self-Custody“ betont, einmal auseinandernehmen und ganz neu durchdenken. Coldcard-Hardware-Wallets gelten seit jeher als die härteste und vertrauenswürdigste Kategorie im Bereich Self-Custody: Physische Trennung der privaten Schlüssel, Offline-Signierung – theoretisch ist das viel sicherer als irgendeine Börsen-Custody.
Aber diese Sache zeigt: Self-Custody adressiert ein Risiko – „jemand anderes nimmt mein Geld“. Es schützt nicht vor einer anderen Art Risiko: „Die Code- oder Hardware-Schicht, die ich nutze, um das Geld zu schützen, hat selbst einen Bug.“ Die Angriffsflächen beider Risiken sind komplett unterschiedlich. Das eine hängt davon ab, ob jemand mit böser Absicht handelt; das andere davon, ob der Code genug sorgfältig geschrieben ist. Und das hat absolut nichts damit zu tun, ob du irgendeiner Person vertraust.
$BABY
Babylon hat zwar auch ein Staking-/Slash-/Konfiskations-Mechanismus nicht (bzw. „Zwangsverfall“), aber im Kern schützt es ebenfalls Code. Die privaten Schlüssel bleiben die ganze Zeit in deiner Hand; niemand Drittes kann damit einfach davonlaufen. Solange dieses Grundprinzip stimmt, ist das in Ordnung.
Aber das Coldcard-Lehrbeispiel steht jetzt im Raum: Selbst wenn private Schlüssel komplett bei dir sind, kann ein Bug in der Code-Ebene trotzdem dazu führen, dass das Geld abgezogen wird – unabhängig davon, wer die privaten Schlüssel „besitzt“. Self-Custody schützt vor menschlichem Fehlverhalten; es verhindert nicht die Code-Qualität. Beide Dinge werden durch den Coldcard-Vorfall diesmal viel klarer.
#baby
Brüder, sagt mal: Wird so ein Unfall dazu führen, dass bei euch ein Fragezeichen hinter dem Satz „Self-Custody = absolute Sicherheit“ steht? Diskutiert es im Kommentarbereich.