August 2026 war eine Achterbahnfahrt für den Krypto-Sektor. Eher eine schlechte. Kurz bevor der Monat begann, gelang es einigen unbekannten Angreifern, eine Schwachstelle in den Coldcard-Hardware-Wallets auszunutzen, um bis zu 2.055 $BTC (~130 Millionen US-Dollar) direkt von Nutzern zu stehlen. Das gilt als bislang größter Exploit einer Hardware-Wallet. Und es folgten weitere Angriffe auf Trezor und SafePal, zwei weitere große Anbieter von Hardware-Wallets. Daher wird die Selbstverwahrung für viele nun in Frage gestellt.
Uns wurde wiederholt gesagt, dass unsere privaten Schlüssel offline bleiben müssen – unerreichbar für Hacker und Betrüger. Deshalb haben zahlreiche Krypto-Nutzer beschlossen, in mehr Sicherheit zu investieren und spezialisierte Hardware-Geräte zu kaufen, um ihre Coins zu schützen. Nun haben einige, die sich für einen Coldcard als dieses Spezialgerät entschieden haben, ihre Gelder verloren – ohne überhaupt etwas dagegen zu tun, weil der Angriff vollständig remote erfolgte und außerhalb ihrer Kontrolle lag.
Das fühlt sich unfair an. Aber warte, denn es gibt noch Dinge zu klären, bevor man dem Konzept der Selbstverwahrung den Glauben entzieht.
Was ist also mit Coldcard und der Company passiert?
Das Erste, was wir verstehen müssen, ist: Nein, Kryptonetzwerke sind nicht einfach nur unsicherer als zuvor. Die jüngsten Angriffe richteten sich nicht gegen starke, verteilte Ledger, sondern gegen bestimmte Unternehmen und deren Produkte. Beginnen wir mit dem Coldcard-Fall: Das Problem lag daran, wie bestimmte Geräte Wallet-Seeds oder private Keys erzeugten.
In einer durchschnittlichen Krypto-Wallet ist es unmöglich, Seeds einfach durch „Raten“ mithilfe von Brute Force (viele wiederholte Versuche) zu erraten. Eine 12-Wort-Phrase allein hat etwa 340 Undezillionen Möglichkeiten. Das bedeutet – wie Knowing Bitcoin erklärt –, dass „wenn jeder Computer auf der Erde jede Sekunde eine Milliarde Seed-Phrasen ausprobieren würde, es dauern würde, dass es Billionenfach so lange wäre wie das aktuelle Alter des Universums, um alle zu testen." Leider war das bei manchen Coldcard-Geräten nicht so.
Eine 2021 eingeführte Softwareänderung führte dazu, dass bestimmte Geräte statt des hardwarebasierten Zufallszahlengenerators, der zur Erstellung sicherer Seeds gedacht war, einen softwarebasierten Pseudo-Zufallszahlengenerator verwendeten. Mit anderen Worten: Die Sicherheit der Wallet beruhte auf unzureichender Zufälligkeit. Angreifer konnten die privaten Schlüssel erraten, obwohl sie nie hätten erraten werden können.
Selbst nachdem ein Firmware-Fix angewendet wurde, sind diese Seeds dennoch nicht mehr geeignet, um sie weiter zu verwenden. Jeder, der zwischen 2021 und 2026 Seeds auf einer Coldcard erzeugt hat, wird dringend dazu geraten, alle Gelder in eine sicherere Wallet zu transferieren.
Was ist mit Trezor und SafePal?
Zumindest wurden in diesen beiden Angriffen keine Gelder beeinträchtigt. Allerdings können sie als gleich ernst angesehen werden, weil persönliche Daten und physische Adressen tatsächlich geleakt wurden. Am 12. August teilte Trezor mit, dass ShipMonk, einer ihrer Versanddienstleister, unter einem schweren Datenleck litt, bei dem die vollständigen Namen, Telefonnummern, E-Mail-Adressen und physischen Adressen von fast 12.000 Kunden offengelegt wurden.
Ganz in derselben Weise, kaum ein paar Tage später, kündigte SafePal die Entdeckung eines Bugs an, der es jemandem ermöglichen könnte, auf Kundenbestellinformationen zuzugreifen oder sie nachzuverfolgen – ohne die properen Berechtigungen. Was einige Hacker getan haben. Vertrauliche Daten wie Namen, Telefonnummern, E-Mails und physische Adressen von fast 40.000 Kunden wurden gestohlen.
Es klingt „besser“, als wenn Gelder oder private Keys weggenommen werden, aber dem ist nicht so. Mit all diesen Informationen können Hacker Kunden ganz leicht ausfindig machen, gezielte Angriffe durchführen, Phishing starten und sogar „Wrench Attacks“ oder Einbrüche in die Häuser der Betroffenen planen. Tatsächlich ist laut Certik die Zahl gewaltsamer physischer Angriffe auf Krypto-Nutzer im Jahr 2026 im Vergleich zum Vorjahr um 33% gestiegen.
Müssen wir dann schnell zu Krypto-Börsen rennen?
Laut CMC: „Coldcard Hack Sends Bitcoiners Scrambling for CEXes.“ Also, sind sie am Ende für uns sicherer? Ist das eine echte Lösung für Nutzer von Krypto auf lange Sicht? Die Antwort ist nicht so einfach. Zentralisierte Börsen können – selbst mit massiven Investitionen in Sicherheit – gehackt werden und wurden auch bereits gehackt.
Im Jahr 2025 erlitten Coinbase, eine der größten Börsen weltweit, denselben Lecktyp wie Trezor und SafePal. In den Vorjahren waren auch andere Firmen wie Liquid, KeepChange, Celsius und OpenSea von großen Datenlecks betroffen. Darüber hinaus wurden in den letzten Jahren zahlreiche Krypto-Börsen ausgeraubt oder sogar bankrottgemacht – oder es waren von Anfang an nur Betrügereien. Mt. Gox, QuadrigaCX, Cryptopia und FTX sind nur einige davon. Tausende Nutzer weltweit erlitten in diesen Fällen massive Verluste. Deshalb ist dieses Motto in Krypto so verbreitet: Nicht deine Keys? Nicht deine Coins.
Aber jetzt, wo die Selbstverwahrung offenbar bedroht ist: Was ist die Alternative? Wohin laufen wir? Vielleicht denkst du: Nun ja, die Schwächen waren auf bestimmte Marken begrenzt, also wechseln wir die Marke – und das war’s…! Aber das ist immer noch nicht die Antwort. Die Antwort ist, dass nichts und niemand von einem Versagen ausgenommen ist. Selbstverwahrung erfordert mehr Verantwortung, während externe Verwahrung eine andere Art von Risiken mit sich bringt. Das ist aber der Punkt.
Keine der beiden Anordnungen nimmt das Risiko weg. Sie verteilen unterschiedliche Risiken auf unterschiedliche Seiten des Tisches – und du musst auswählen, welche dieser Risiken für deine eigenen Umstände „weniger riskant“ ist. Welche Vorteile bevorzugst du (also vollständiges Eigentum vs. Bequemlichkeit) und wofür bist du bereit, Risiko zu tragen? Selbst Fiatwährungen und Banken haben ihre eigenen Risiken und Nachteile, und genau ihre Fallstricke sind der ganze Grund, warum Kryptowährungen existieren. Traurig, aber wahr.
Neue Lektion: Leg nicht alle Eier in einen Korb
Dezentralisiere – wie es Krypto-Netzwerke selbst tun! Wenn ein Gerät, ein Hersteller, ein Backup, ein Unternehmen oder ein Prozess bestimmen kann, ob dein gesamtes Vermögen überlebt, dann ist das eine einzige Schwachstelle, die du so schnell wie möglich beheben musst – egal wie sicher du es glaubst. Es gibt mehrere Lösungen dafür.
Ein einfacher Ausgangspunkt ist Redundanz bei Backups: Kopien werden an getrennten Orten gespeichert, sodass nicht ein einziges Feuer, eine Überschwemmung oder ein defektes Gerät alles auslöscht. In Obyte kannst du mehrere Textcoins mit unterschiedlichen Beträgen erstellen und sie offline speichern. Allerdings musst du darauf achten, deine Textcoins (Seeds) zu notieren, sie an unterschiedliche sichere Orte zu kopieren und dich bestmöglich um sie zu kümmern. Der einzige Weg zur Selbstverwahrung ist hohe Verantwortung.
Für einen stärkeren Schutz können Multi-Signature-Wallets erfordern, dass zwei oder mehr separate Schlüssel vorhanden sind, bevor Coins bewegt werden können. Ein 2-von-3-Setup verwendet zum Beispiel drei Schlüssel, erfordert aber, dass jeweils zwei eine Transaktion genehmigen. Das heißt: Wenn du einen Schlüssel verlierst, wirst du nicht automatisch ausgesperrt, und wenn ein Schlüssel kompromittiert wird, hat ein Angreifer nicht genug Kontrolle. Du kannst Schlüssel auch über verschiedene Geräte oder Hersteller verteilen und damit die Abhängigkeit von einer einzigen Technologie verringern.
In Obyte kannst du in nur wenigen Schritten ein Multi-Signature-(Multi-Device-)Konto erstellen, um deine Sicherheit zu erhöhen, und wenn du möchtest, kannst du auch andere Personen als Mitunterzeichner hinzufügen – nicht nur deine eigenen Geräte.
Es gibt auch Wert darin, Wiederherstellung zu testen. Ein Backup, das nie überprüft wurde, ist ein Plan auf Papier. Ein erfolgreicher Wiederherstellungs-Check liefert den Beweis, dass der Plan funktioniert. Und Komplexität verdient ein eigenes Warnschild. Jeder zusätzliche Passphrase, jedes Gerät, jeder Ort und jedes Backup fügt noch etwas hinzu, das man sich merken und pflegen muss.
Ist Krypto-Selbstverwahrung tot?
Nein. Wenn überhaupt, machen die Unebenheiten auf dem Weg die Idee nur reifer. Selbstverwahrung vermeidet mögliche finanzielle Zensur und kann Menschen die volle Kontrolle geben, aber Kontrolle bedeutet auch Hausaufgaben: vom Verständnis, wie Keys erstellt werden, bis hin zu wissen, wo Backups liegen und was passiert, wenn ein Gerät ausfällt. Sogar darauf vorbereitet zu sein, dass ein Gerät ausfällt.
Selbstverwahrung bedeutet, die komplette Sicherheitsarchitektur selbst zu übernehmen – nicht nur ein Gerät zu kaufen, auf dessen Box die Worte „Hardware Wallet“ stehen. Mach deine eigene Recherche (DYOR) zu jeder Marke, jeder Software und jedem Prozess. Das lohnt sich zu wiederholen: Der einzige Weg zur Selbstverwahrung ist hohe Verantwortung!
Ursprünglich veröffentlicht auf Hackernoon