Deine Versicherungskassette: Wenn der Schließzylinder bereits ab dem Auslieferungstag einen Defekt hatte, passiert fünf Jahre lang nichts – bis jemand diesen Defekt entdeckt.
In den vergangenen 72 Stunden erschüttert die Kryptoindustrie eine Vertrauensbeben. Nicht weil eine Börse pleitegeht, nicht weil Projektbetreiber abhauen – sondern weil eine Hardware-Wallet-Marke, der von Millionen Menschen vertraut wird, mit einem fatalen Fehler aufwartet: Er soll seit 2021 existieren.
Der Verlust beläuft sich bereits auf über 116 Millionen US-Dollar. Und diese Zahl steigt weiter.
Die betroffene Marke heißt Coldcard.
In der Bitcoin-Szene ist Coldcard fast schon ein Synonym für „Sicherheit“. Es ist eine Hardware-Wallet, die wie ein USB-Stick aussieht und speziell dafür gemacht ist, Bitcoin-Private-Keys offline zu speichern. Keine Internetverbindung nötig, keine Angst vor Hackerangriffen aus der Ferne – viele Branchenkenner empfehlen sie als „die sicherste Methode, um Coins aufzubewahren“.
Und dann explodierte am frühen Morgen des 30. Juli die Bombe.
Angreifer brauchten nur 25 Minuten, um nahezu 500 Wallets abzusuchen und 594 Bitcoins mitzunehmen. Bei den damaligen Preisen waren das etwa 38 Millionen US-Dollar.
Bis hierhin denken viele noch, es sei nur ein einmaliges Sicherheitsereignis.
Nein.
Galaxy Research – eines der angesehensten On-Chain-Analyseinstitute der Wall Street – hat nachverfolgt: Das ist nur die erste Welle.
Die zweite Welle kam: Sie durchsuchte 4585 Adressen. Die dritte Welle folgte mit 1912 Adressen. Bis zum 3. August bestätigte Galaxy die vierte Welle – und pro Welle wurden wieder 449 BTC abgezogen.
Insgesamt: 1816 Bitcoins wurden aus über 5200 Adressen abgezogen. Wert: etwa 116 Millionen US-Dollar.
Noch erschreckender sind die Merkmale der Opfer.
Viele der gestohlenen Wallets hatten seit Jahren keinen Transaktionsverkehr. Sie lagen die ganze Zeit offline – manche waren sogar physisch in einem Bankschließfach eingeschlossen. Doch Angreifer müssen dein Gerät nicht anfassen, keine Phishing-E-Mails an dich schicken, und auf deinem Computer keine Trojaner installieren.
Sie brauchten nur einen Computer.
Ursache der Sicherheitslücke
Warum?
Weil die Firmware von Coldcard einen Bug in einem Zufallszahlengenerator hat.
Übersetzt in normales Englisch: Beim Erstellen einer Hardware-Wallet muss eine Zufalls-Passphrase (Seed Phrase) generiert werden. Normalerweise sollte diese Passphrase von spezieller Hardware erzeugt werden – theoretisch ist sie also nicht vorhersehbar. Aber bei Coldcard ist bei einem Firmware-Update im März 2021 etwas schiefgelaufen: Stattdessen wurde aus öffentlich bekannten Infos wie Geräteseriennummer, Chipnummer, Uhrzeit usw. generiert.
Diese Informationen sind nicht geheim. Wenn Angreifer dein Gerätemodell haben, können sie lokal wiederholt durchrechnen und deine Seed Phrases erraten.
Coinkite – der Hersteller von Coldcard – bewertete im Nachhinein: Die betroffenen Firmware-Versionen hatten in der Praxis eine echte Zufälligkeit von nur 40 Bit, weit unter dem Designziel von 128 Bit.
Was heißt das? Du glaubst, dass dein Passwort Billionen/Billiarden Möglichkeiten hat, aber tatsächlich gibt es nur ein paar Dutzend Millionen. Für einen modernen Computer reicht es vielleicht nur für ein paar Stunden, diese Möglichkeiten durchzuprobieren (bruteforcen).
Der CEO von Coinkite, Rodolfo Novak, entschuldigte sich öffentlich und sagte: „Das waren die schwierigsten drei Tage in der Geschichte unseres Unternehmens“. Sie veröffentlichten reparierte Firmware und forderten alle Nutzer auf, sofort zu aktualisieren.
Aber hier gibt es eine grausame Tatsache: Ein Firmware-Update kann die zuvor generierten Seed Phrases nicht reparieren.
Dein Passwort war bereits bei der Erstellung „kontaminiert“. Egal, was du jetzt tust: Das alte Passwort bleibt für immer in einer Form berechenbar, aus der man es ableiten kann. Der einzige Ausweg besteht darin, deine Assets in eine Wallet zu übertragen, die nach einer völlig neuen Methode generiert wird.
Das Problem ist: Viele wissen überhaupt nicht, wann ihre Wallet erstellt wurde.
Das Paradox des Industrie-„Glaubens“
Was mich an der Sache wirklich beunruhigt, ist nicht der Verlust von 100 Millionen US-Dollar – in dieser Branche hat man schon viele größere digitale Crashs gesehen.
Was mich vor allem beschäftigt, ist ein grundlegendes Paradox.
Der Kern-Glaube der Kryptoindustrie heißt „not your keys, not your coins“ – Coins gehören nicht auf die Börse; nur wenn du die privaten Keys selbst in der Hand hast, ist es sicher.
Die logische Grundlage dieses Glaubens lautet: Du musst keinem Zwischenhändler vertrauen – du musst nur dem Code vertrauen.
Doch der Coldcard-Vorfall enthüllt eine unangenehme Wahrheit: Der Code, dem du vertraust, ist von dir selbst überhaupt nicht zu durchschauen.
Casa-Mitgründer Jameson Lopp – einer der respektiertesten Stimmen im Bereich Krypto-Sicherheit – sagte etwas sehr Passendes:
Dieses Ereignis bedeutet nicht, dass Self-Custody grundsätzlich gescheitert ist, aber es zeigt: Die meisten Menschen haben schlicht nicht die Fähigkeit zu überprüfen, welches System sie tatsächlich verwenden.
Du kannst keine Millionen Zeilen Firmwarecode für ein Hardware-Wallet prüfen. Du kannst nicht kontrollieren, ob der Zufallszahlengenerator im Chip wirklich zufällig ist. Das Einzige, was du tun kannst, ist „der Marke zu vertrauen“.
Zynisch, oder? Du entscheidest dich für ein Hardware-Wallet gerade, weil du nicht irgendjemandem vertrauen willst. Am Ende vertraust du aber dennoch – nämlich darauf, dass ein Firmware-Ingenieur in einem kanadischen Unternehmen keinen banalen Fehler in irgendeinem Update macht.
Das ist nicht nur ein Problem eines Unternehmens. Es ist ein systemisches Risiko für das gesamte Self-Custody-Sicherheitsmodell.
Denk mal darüber nach: Ein Open-Source-DeFi-Protokoll – der Code liegt im Netz, globale Entwickler können ihn jederzeit prüfen. Firmware eines Hardware-Wallet ist dem Namen nach auch „Open Source“, aber wie viele Nutzer haben sie wirklich gelesen? Und wie viele Security Researcher sind in der Lage, einen Full-Stack-Code vom darunterliegenden Chip bis zur oberen Anwendung vollständig zu auditieren?
Die Antwort liegt nahe bei Null.
Softwareprojekte haben häufige Community-Audits, Bug-Bounty-Programme und kontinuierliche Aufmerksamkeit von White-Hat-Hackern. Die Update-Frequenz von Hardware-Wallet-Firmware ist niedrig; Audits werden meist nur beim Release einmal durchgeführt, danach setzt man auf „Vertrauen“.
Und „Vertrauen“ – genau das ist in dieser Branche das knappste Gut.
In der ersten Jahreshälfte wurden im globalen Kryptosektor insgesamt 972 Millionen US-Dollar gestohlen, es gab 207 Hackerangriffe – ein neuer Höchstwert für die Halbjahresperiode. Das Coldcard-Ereignis lenkte die Aufmerksamkeit nur von „DeFi-Protokolle sind unsicher“ hin zu „Auch die Geräte, mit denen du Coins speicherst, sind unsicher“.
Überlegungen hinter dem Ereignis
Nach der Veröffentlichung des Coldcard-Vorfalls gab es ein interessantes Phänomen.
Laut den Daten von CryptoQuant schossen die Mengen kleiner Überweisungen von unter 1 BTC innerhalb eines Tages auf 39.600 BTC hoch – das ist das höchste Niveau seit dem FTX-Crash im Jahr 2022.
Als FTX zusammenbrach, brachten die Leute ihre Coins von der Börse in Cold Wallets.
Als Coldcard ausfiel, brachten die Leute ihre Coins vom Cold Wallet zurück an die Börse.
Furcht pendelt zwischen zwei Extremen.
Es gibt keine perfekte Sicherheit. Börsen können gehackt werden oder pleitegehen. Hardware-Wallets können Bugs haben oder physisch geknackt werden. Das Einzige, was du tun kannst: Risiken streuen, wachsam bleiben und regelmäßig Updates durchführen.
Aber dahinter steckt ein noch tieferes Problem, über das sich alle „Self-Custody“-Gläubigen Gedanken machen sollten:
Wenn du „not your keys, not your coins“ sagst – verstehst du wirklich, wie diese Key überhaupt erzeugt wird?
Wenn du diese Frage nicht beantworten kannst, ist deine „Sicherheit“ möglicherweise nur eine andere Form von „Vertrauen“.
Nur: Der Sache, der du vertraust, ist aus einem börsennotierten Unternehmen mit CEO geworden – eine Chip-Platine, die du selbst nicht verstehst.
