Am späten Abend des 4. August 2026 (Beijing-Zeit) taucht im Krypto-Umfeld plötzlich ein unheimliches Flimmern „über der Wasseroberfläche“ auf.
Eine Bitcoin-Adresse, die seit 2013 wie tot geschlafen hat: 18TExP. Plötzlich ist sie wieder aktiv geworden. 500 Bitcoins (ca. 31,3 Millionen USD) wurden in dem Moment übertragen, in dem die Transaktion im Block bestätigt wurde. Dieses Wallet schlummerte ganze 12 Jahre und 8 Monate—sogar älter als die Entstehung von Ethereum.
Während die Welt spekuliert, ob es sich dabei um eine Wiedererscheinung von „Satoshi Nakamoto“ selbst handelt, taucht ein noch unheimlicherer Hintergrund auf: Das „Bollwerk“ der Bitcoin-Hardware-Wallets—Coldcard—wurde gerade mit einem tödlichen Sicherheitsmangel in Verbindung gebracht, und über hundert Millionen USD an BTC werden gestohlen.
Der Ablauf der Entdeckung dieser Schwachstelle hat noch stärker gezeigt, wie mächtig KI sein kann und welche Bedrohung damit einhergeht. Nachdem das Coldcard-Team Ende Juli eine Sicherheitsankündigung veröffentlicht hatte, übergab jemand den Quellcode an ein KI-Modell namens Claude Code zur Prüfung. Ergebnis: Die KI brauchte nur 8 Minuten, um die konkrete Codezeile zu lokalisieren, die zum Zusammenbruch der Zufälligkeit führte.
Das Wiedererwachen eines uralten Riesenwals trifft auf eine tödliche Schwachstelle im Coldcard-Wallet—Zufall bei einer „großen Umsiedlung“ oder eine präzise Jagd auf den uralten Riesenwal?
Heute reden wir nicht über Nebel. Wir zerlegen den technischen Machtkampf hinter diesem „Krypto-Beben“ in ganz einfachen Worten.
Coldcard-Schwachstelle: Eine Burg, die angeblich „nicht zu knacken“ war—warum ist sie eingestürzt?
Für Krypto-Geeks in der Szene war Coldcard lange gleichbedeutend mit „harter Sicherheitskunst“. Das größte Verkaufsargument lautet: „Private Schlüssel werden vollständig offline generiert“. Theoretisch—wenn keine Verbindung ins Netz besteht—kann dir kein „Engel“ deine Coins stehlen.
Aber diesmal haben die Hacker nicht deinen Computer gestohlen—sie haben deinen privaten Schlüssel einfach „erraten“.
Was ist das Wesen eines privaten Schlüssels? Es ist eine extrem große Zufallszahl. Einen privaten Schlüssel zu erzeugen ist wie das Mischen eines Kartenstapels: Je stärker du mischst, desto höher ist die Zufälligkeit und desto weniger kann jemand vorhersagen.
Diesmal beging Coldcard den klassischsten Anfänger-Fehler eines Programmierers: „Unzureichende Entropie beim Pseudozufallszahlengenerator (PRNG)“.
Bei einem Firmware-Update im März 2021 führte das Coldcard-Team einen Bug ein. Das führte dazu, dass bei der Generierung privater Schlüssel in bestimmten Modellen (z. B. Mk2, Mk3) die Zufälligkeit nur noch ungefähr 40 Bits betrug.
Die Zahlen zeigen, wie absurd das ist: Die Sicherheitsstufe von Bitcoins privatem Schlüssel entspricht 128 Bit. Das bedeutet, dass ein Hacker für einen Brute-Force-Angriff 2^128 Versuche unternehmen müsste—eine Zahl, die mehr Atome umfasst als im Universum vorhanden sind.
Doch wenn der Entropiewert auf 40 Stellen sinkt, schrumpft die Zahl der möglichen Kombinationen augenblicklich auf etwa 1 Billion (2^40).
Klingt 1 Billion nicht riesig? Für einen normalen Computer ist das tatsächlich eine astronomische Zahl. Doch für Hacker-Gruppen mit hoher Rechenleistung—oder Teams mit professionellen GPU-Clusters—ist das Brute-Forcen dieser 1 Billion Kombinationsmöglichkeiten nur eine Frage von wenigen Tagen oder sogar Stunden!
Das ist so, als würdest du den Tresor-Code von „8-stellig“ auf „4-stellig“ ändern—vor Profis ist dieser Tresor praktisch wertlos.
Sind Cold Wallets wirklich sicher? Krypto-Vermögenssicherheit tritt in eine neue Phase ein
In den vergangenen Jahren, in denen es immer wieder zu Börsen-Pleiten, Weglaufen und dem Einfrieren von Auszahlungen kam, ist „Nicht die Coins auf die Börse zu legen“ zu einer Branchen-Übereinkunft im Krypto-Bereich geworden. Immer mehr langfristige Bitcoin-Halter wählen: Hardware-Wallets, Cold Wallets, Multi-Sig-Wallets.
Denn sie gelten als die sicherste Methode, um BTC zu schützen. Doch der Sicherheitsvorfall bei diesem Coldcard-Hardware-Wallet erinnert den Markt erneut daran: Cold Wallet ist keine absolute Sicherheit. Nicht „das Gerät an sich“ schützt deine Vermögenswerte, sondern ein ganzes Sicherheitssystem—von Zufallszahlengenerierung über das Management privater Schlüssel bis hin zu den Backup-Mechanismen.
Wie funktioniert die Sicherheitslogik eines Hardware-Wallets? So wie bei Coinkite mit der Coldcard: Im Kern ist es ein „Offline-Gerät zur Generierung und zum Signieren privater Schlüssel“. Normaler Ablauf: Das Gerät erzeugt Zufallszahlen → erzeugt 12/24 Wörter (Seed) → die Seed-Wörter erzeugen private Schlüssel → private Schlüssel steuern BTC-Adressen → der Nutzer speichert offline.
Theoretisch ist ein Brute-Force-Angriff fast unmöglich. Selbst wenn das Gerät verloren geht: Wenn die Seed-Wörter sicher sind, bleibt das Vermögen geschützt. Deshalb entscheiden sich viele langfristige Bitcoin-Halter für Hardware-Wallets.
Bei dieser Schwachstelle handelt es sich nicht um einen Einbruch in das Coldcard-Gerät durch Hacker oder um eine Fernsteuerung des Wallets durch Hacker—auch nicht um das Leaken von Seed-Wörtern durch den Nutzer. Stattdessen nutzten einige Coldcard-Versionen beim Generieren der Seed-Wörter nicht genug starke Zufallsquellen.
Wie oben beschrieben: Der gesamte Angriff erfordert von den Angreifern nur, in einem begrenzten Suchraum die Seed-/Wörterliste zu berechnen, daraus private Schlüssel zu generieren, die zugehörigen BTC-Adressen zu finden, die Gelder abzuziehen—ohne dass sie überhaupt das Nutzergerät anfassen müssen.
Laut den derzeit öffentlich verfügbaren Daten: In der ersten Angriffswelle wurden etwa 1.196 Adressen gestohlen—rund 1.082 BTC. In mehreren Folgewellen summierten sich die Verluste weiter. Stand Anfang August, basierend auf Nachverfolgungen durch Organisationen wie Galaxy Research: bestätigte Verluste von über 130 Millionen USD, betroffene Wallets von mehr als 7.300, und mindestens 15 unabhängige Hacker-Organisationen nutzen die Schwachstelle, um „Fische zu holen“.
Die größte Bedeutung des Coldcard-Vorfalls ist nicht der Beweis: „Cold Wallet ist nicht sicher.“ Sondern die Warnung: Die Sicherheit kryptografischer Vermögenswerte geht von der Ära „private Schlüssel speichern“ in die Ära „Risiken managen“ über.
Warum riefen 500 BTC, die 12 Jahre lang bei 18TExP schlummerten, so viel Aufmerksamkeit hervor?
Vor allem lag es an einem perfekten Timing: Zuerst wurde der Coldcard-Schwachstellenvorfall bekannt. Danach begannen viele Nutzer, die Sicherheit ihrer Cold Wallets zu prüfen. So entstand die Vermutung: Hat dieses uralte BTC-Wallet vielleicht aus Sicherheitsbedenken frühzeitig Vermögenswerte migriert?
Doch derzeit gibt es keine Belege, dass beides miteinander zusammenhängt. Der Grund ist ganz einfach: 2013 gab es Coldcard noch nicht. Daher ist es für diese Adresse anfangs unmöglich gewesen, von Coldcard generiert worden zu sein.
Die plausibelere Erklärung lautet: Der Wal hat aufgrund der Sicherheitsbedenken, die durch den Coldcard-Schwachstellenvorfall ausgelöst wurden, proaktiv Schutzmaßnahmen ergriffen—Wallet gewechselt, Sicherheitskonzept aktualisiert, das Vermögensmanagement neu geplant. Natürlich könnte auch sein, dass langfristige Halter verkaufen oder OTC handeln; 500 BTC sind für frühe Miner und Investoren keineswegs ungewöhnlich.
Das ist kein Einzelfall: Daten zeigen, dass nach der Offenlegung der Coldcard-Schwachstelle die Aktivität der „uralten Coins“, die das ganze Netzwerk 7–10 Jahre lang schlummern ließ, sprunghaft anstieg. Hinter den Kulissen läuft eine lautlose „Big Escape“-Jagd.
Notfall-„Lebensrettungs“-Leitfaden für alle Coin-Besitzer
Coldcard-Vulnerabilitätsvorfall: eine sehr wichtige Sache sollten wir daraus lernen—der Vermögensschutz hat keine absolute Sicherheit.
Früher haben wir nur gefragt: „Börse oder Cold Wallet?“ Jetzt müssen wir upgraden zu: „Wie gestaltet man ein komplettes System zum Schutz von Vermögenswerten?“ Denn in der Sicherheitskette kann jede einzelne Stelle—Firmware, Zufallszahlengenerierung, Lieferkette, Backup-Gewohnheiten, Nutzungsumgebung—zum Bruchpunkt werden.
Für normale Nutzer reicht ein Hardware-Wallet zwar oft aus, aber bei hohen BTC-Beträgen sollte man nicht auf Einzellösungen vertrauen. Das Risiko im Single-Wallet-Ansatz steigt immer stärker. Ein reiferes Vorgehen sind mehrstufige Schutzmaßnahmen: erste Ebene Hardware-Wallet, zweite Ebene unabhängige Backups, dritte Ebene Multi-Sig-Wallet, vierte Ebene Vermögen streuen.
Zum Beispiel: nicht 1 Wallet, 1000 BTC, 1 Seed, sondern: 10 Wallets, 1000 BTC, 10 Seeds.
Für große Vermögenswerte sollte man Multi-Sig in Betracht ziehen, zum Beispiel 2/3 Multi-Sig: drei Geräte—eins zu Hause, eins in der Banktresorbox, eins bei einem vertrauenswürdigen Verwandten. Es sind zwei Signaturen nötig, um zu überweisen. Selbst wenn ein Gerät kompromittiert wird, bleibt das Vermögen sicher.
Zum Schluss: Wenn du oder ein Freund gerade Coldcard nutzt oder irgendein Hardware-Wallet, dann merke dir bitte unbedingt: „Der Umzug“ ist wichtiger als „das Upgrade“. Nur das Firmware-Update von Coldcard zu machen, kann die bereits generierten alten privaten Schlüssel nicht reparieren. Du musst dein Vermögen sofort auf die neu generierten Adressen übertragen—und diese neue Adresse muss mit der Firmware-Version erzeugt worden sein, die die Schwachstelle behoben hat.
Schau nach dem Modell: Die hauptsächlich betroffenen Coldcard-Modelle sind Coldcard Mk2, Mk3, Mk4 und Q. Wenn du diese Modelle nutzt und sie zwischen 2021 und 2023 erstellt wurden, ist das Risiko standardmäßig bereits freigelegt.
Wenn du Wallets in deinem Besitz hast, die etwa zwischen 2013 und 2016 erstellt wurden, selbst wenn es nicht Coldcard ist, ist dieses „Wal-Umzug“-Ereignis eine Warnung: veraltete Adressformate und Generierungsalgorithmen sind für Hacker immer „leichtes Futter“. Ein proaktiver Umzug ist Verantwortung für dein Vermögen.
Der Coldcard-Vorfall stürzt den Wert von Hardware-Wallets nicht um. Im Gegenteil: Er zeigt, dass Hardware-Wallets weiterhin ein wichtiges Werkzeug zum Schutz von Bitcoin sind—aber jedes Sicherheitswerkzeug ist nicht absolut sicher.
Wenn du nicht sicher bist, ob dein Wallet oder Handelsplattform ein Risiko darstellt, kannst du dir mithilfe eines Drittanbieter-Abfrageportals wie WikiBit eine Orientierung holen. Natürlich sind solche Tools nur ein Referenzhinweis; die letztliche Sicherheitsabsicherung liegt immer in deinem eigenen System zur Verwaltung privater Schlüssel.
Egal ob Börse, Software-Wallet oder Hardware-Wallet genutzt wird: Das erste Grundprinzip für die Sicherheit kryptografischer Vermögenswerte lautet—nicht alles auf eine einzige Plattform, ein einziges Gerät oder ein einziges Schlüsselsystem zu setzen. Risiko streuen ist wichtiger als die Suche nach so etwas wie „absoluter Sicherheit“.
Fazit
Das „Erwachen“ der 18TExP-Adresse könnte vielleicht nur eine Routineaktion eines alten Big Guys gewesen sein. Die Coldcard-Schwachstelle könnte wiederum nur eine Stolperstelle auf dem Weg der technischen Weiterentwicklung gewesen sein.
Doch wenn sich diese beiden Dinge überlagern, zeigen sie uns eine kalte Realität: In der Krypto-Welt ist Sicherheit ein Luxusgut. Hardware-Wallets sind nicht das Ende der Reise, selbst der Code ist nicht absolut sicher. Echte Sicherheit entsteht aus Respekt vor der zugrunde liegenden Logik und aus ständiger Wachsamkeit—niemals nachlassen.
Dieses Wallet schlummerte 12 Jahre lang nicht, weil es sicher war, sondern weil es nie entdeckt wurde. Und als es dann erwachte, könnte die Krise gerade erst begonnen haben.