Coldcard epischer Schwachstellen-Skandal: Die zugrunde liegende Logik für den Diebstahl von 1367 BTC 📉
Im August 2026 brach beim kanadischen Hardware-Wallet-Hersteller Coinkite unter dem Label Coldcard eine Firmware-Schwachstelle aus. Angreifer wischten in drei Wellen insgesamt 1367 BTC (ca. 86,7 Millionen US-Dollar) von 4585 Adressen. In der schnellsten Runde wurden in nur 41 Minuten 1196 Adressen geleert.
Der Grund liegt nicht in „abgeleiteten privaten Schlüsseln“, sondern in „ausfallender Zufallszahlenerzeugung“. Seit März 2021 erzeugten bestimmte Firmware-Versionen beim Erstellen der Seed-Mnemonics aufgrund eines Fehlers in der Prüf-/Validierungslogik für Makros unabsichtlich eine Umgehung des Hardware-True-Random-Number-Generators (TRNG) im STM32-Chip. Stattdessen wurde auf den MicroPython-Software-Pseudozufallszahlgenerator Yasmarang zurückgegriffen. Dadurch sank die effektive Entropie der BIP-39-Seed-Samen von den Standards 128 Bit auf etwa 40 Bit (Mk3) oder 72 Bit (Mk4/Mk5/Q). Der Angreifer muss dazu weder das Gerät berühren noch phishen: Mit Offline-Rechenleistung enumerate er Kandidaten-Seeds und gleicht sie mit den On-Chain-UTXOs ab, um die privaten Schlüssel zu rekonstruieren.
Ein Firmware-Update kann die bereits erzeugten Seeds mit niedriger Entropie nicht reparieren. Nutzer müssen auf der neuen Firmware die Seeds neu generieren und danach alle Assets migrieren.
Markteinfluss mit typischem Muster eines „Trust-Discount“: Am Tag der Enthüllung fiel Bitcoin um 1,4% auf rund 62.250 US-Dollar. Gleichzeitig kamen US-Aktien-Spot-Bitcoin-ETFs wie IBIT und der Futures-ETF BITO kurzfristig unter Druck 📉; auch Nasdaq-100-Futures NQ wurden durch den Rückgang der Risikobereitschaft mit nach unten gezogen.
Einschätzung: Kurzfristig 📉 – Die „absolut sichere“ Erzählung für Hardware-Wallets bricht zusammen. Selbstverwahrtes Vermögen steht vor einer Neubewertung; Futures-Exposures wie bei BITO könnten sich mit einem Aufschlag/Abschlag (Contango/Backwardation) weiter vergrößern.
Langfristig 📈 – Die institutionelle Allokationslogik hinter dem Spot-Bitcoin-ETF IBIT bleibt intakt. Die Schwachstelle treibt die Verbreitung von Härtungsmaßnahmen wie Multi-Signature, Dice-Entropy und BIP39-Passphrasen/Dialekten (BIP39-Mnemonics + Entropie-Absicherung) voran. Nach dem „Bad News“-Abbau dürfte die Korrelation zwischen NQ und IBIT mit Risk-Assets wieder zunehmen. #Coldcard漏洞被盗1367枚比特币
$BTC
$ETH
Im August 2026 brach beim kanadischen Hardware-Wallet-Hersteller Coinkite unter dem Label Coldcard eine Firmware-Schwachstelle aus. Angreifer wischten in drei Wellen insgesamt 1367 BTC (ca. 86,7 Millionen US-Dollar) von 4585 Adressen. In der schnellsten Runde wurden in nur 41 Minuten 1196 Adressen geleert.
Der Grund liegt nicht in „abgeleiteten privaten Schlüsseln“, sondern in „ausfallender Zufallszahlenerzeugung“. Seit März 2021 erzeugten bestimmte Firmware-Versionen beim Erstellen der Seed-Mnemonics aufgrund eines Fehlers in der Prüf-/Validierungslogik für Makros unabsichtlich eine Umgehung des Hardware-True-Random-Number-Generators (TRNG) im STM32-Chip. Stattdessen wurde auf den MicroPython-Software-Pseudozufallszahlgenerator Yasmarang zurückgegriffen. Dadurch sank die effektive Entropie der BIP-39-Seed-Samen von den Standards 128 Bit auf etwa 40 Bit (Mk3) oder 72 Bit (Mk4/Mk5/Q). Der Angreifer muss dazu weder das Gerät berühren noch phishen: Mit Offline-Rechenleistung enumerate er Kandidaten-Seeds und gleicht sie mit den On-Chain-UTXOs ab, um die privaten Schlüssel zu rekonstruieren.
Ein Firmware-Update kann die bereits erzeugten Seeds mit niedriger Entropie nicht reparieren. Nutzer müssen auf der neuen Firmware die Seeds neu generieren und danach alle Assets migrieren.
Markteinfluss mit typischem Muster eines „Trust-Discount“: Am Tag der Enthüllung fiel Bitcoin um 1,4% auf rund 62.250 US-Dollar. Gleichzeitig kamen US-Aktien-Spot-Bitcoin-ETFs wie IBIT und der Futures-ETF BITO kurzfristig unter Druck 📉; auch Nasdaq-100-Futures NQ wurden durch den Rückgang der Risikobereitschaft mit nach unten gezogen.
Einschätzung: Kurzfristig 📉 – Die „absolut sichere“ Erzählung für Hardware-Wallets bricht zusammen. Selbstverwahrtes Vermögen steht vor einer Neubewertung; Futures-Exposures wie bei BITO könnten sich mit einem Aufschlag/Abschlag (Contango/Backwardation) weiter vergrößern.
Langfristig 📈 – Die institutionelle Allokationslogik hinter dem Spot-Bitcoin-ETF IBIT bleibt intakt. Die Schwachstelle treibt die Verbreitung von Härtungsmaßnahmen wie Multi-Signature, Dice-Entropy und BIP39-Passphrasen/Dialekten (BIP39-Mnemonics + Entropie-Absicherung) voran. Nach dem „Bad News“-Abbau dürfte die Korrelation zwischen NQ und IBIT mit Risk-Assets wieder zunehmen. #Coldcard漏洞被盗1367枚比特币
$BTC
$ETH