In den frühen Morgenstunden des 31. Juli 2026 ist es zu einem schwerwiegenden Sicherheitsvorfall bei Hardware-Wallets des Herstellers Coinkite gekommen. Durch das Ausnutzen einer Schwachstelle in der Firmware wurden insgesamt 594 BTC aus rund 500 Wallets entwendet. Der Wert der gestohlenen Kryptowährung beläuft sich nach aktuellem Marktwert auf etwa 38 Millionen US-Dollar.
Technischer Defekt im Zufallszahlengenerator seit 2021
Branchenberichten zufolge liegt die Ursache für den massiven Abfluss der digitalen Vermögenswerte in einem fehlerhaften Zufallszahlengenerator (RNG) innerhalb der Coldcard-Firmware. Dieser Fehler lässt sich auf ein Software-Update zurückführen, das bereits im Frühjahr 2021, konkret am 1. März 2021, veröffentlicht wurde. Durch einen Programmierfehler wurde der Hardware-RNG faktisch deaktiviert, woraufhin kryptografische Schlüssel stattdessen aus unsicheren Quellen wie der Seriennummer des Geräts und der internen Uhr generiert wurden.
Die Sicherheitslücke führte dazu, dass die Entropie der erzeugten Schlüssel von den standardmäßigen 128 Bit auf lediglich etwa 72 Bit reduziert wurde. Diese Schwächung der Verschlüsselung ermöglichte es Angreifern offenbar, die betroffenen Wallets zu kompromittieren. Analysen zeigen, dass der Diebstahl am 31. Juli 2026 in einem engen Zeitfenster zwischen 01:31 und 01:56 UTC stattfand. Dabei wurden 1.324 sogenannte Unspent Transaction Outputs (UTXOs) in 500 Transaktionen bewegt und 562 BTC konsolidiert.
Umfang der Verluste und betroffene Modelle
Die Auswertungen der Transaktionsdaten ergeben ein detailliertes Bild des Schadensausmaßes. Während der größte Einzelverlust bei 29,9 BTC lag, betrug der Median der Verluste pro Wallet etwa 0,41 BTC. Die betroffenen Guthaben stammen aus Wallets, die zwischen 2021 und 2026 erstellt wurden und zum Teil über längere Zeit inaktiv waren.
Von der Schwachstelle sind mehrere Hardware-Generationen von Coinkite betroffen:
– Modell Mk3 mit Firmware-Versionen zwischen 4.0.1 und 5.0.3.
– Modelle Mk4 und Mk5 mit Firmware-Versionen vor 5.6.0.
– Das Modell Q mit Firmware-Versionen vor 1.5.0Q.
Produkte wie TAPSIGNER, OPENDIME oder SATSCARD seien nach derzeitigem Kenntnisstand nicht von dem Fehler betroffen. Ebenfalls als sicher gelten Nutzer, die bei der Erstellung ihres Seeds eine zusätzliche BIP-39-Passphrase verwendeten oder die Entropie manuell durch mindestens 50 Würfelwürfe erzeugt haben.
Wer sich mit dem Thema digitaler Sicherheit befasst, sollte auch die Risiken für die eigene Unternehmens-IT im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security Awareness Trends jetzt kostenlos herunterladen
Reaktionen des Unternehmens und der Branche
Coinkite-CEO Rodolfo Novak, in der Branche auch unter dem Pseudonym NVK bekannt, forderte betroffene Nutzer umgehend dazu auf, ihre Gelder auf neue Seeds zu transferieren. Er betonte, dass eine laufende Untersuchung eingeleitet wurde. Das Unternehmen stellte klar, dass reine Firmware-Updates bereits existierende, schwache Seeds nicht reparieren können; eine vollständige Migration der Bestände auf neu generierte Adressen sei zwingend erforderlich.
Das Unternehmen Block bestätigte in einem eigenen Bericht, dass der Fehler auf eine Änderung im Code aus dem Jahr 2021 zurückzuführen sei. In Expertenkreisen wird der Vorfall kritisch bewertet. So bezeichnete der Krypto-Analyst Guy Swann den Vorfall als einen der schwersten Rückschläge für das Konzept der Selbstverwahrung von Bitcoin. Lorenzo Valente von ARK Invest äußerte sich kritisch zur Komplexität der Eigenverwahrung angesichts solcher technischer Risiken.
Angesichts immer komplexerer Bedrohungslagen im digitalen Raum ist proaktive Absicherung für Firmen wichtiger denn je. Erfahren Sie im kostenlosen E-Book, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. Gratis-E-Book für Unternehmer sichern
Trotz des Vorfalls zeigte sich der breitere Kryptomarkt weitgehend stabil. Der Bitcoin-Preis verharrte in den Stunden nach Bekanntwerden bei etwa 64.000 US-Dollar, obgleich Analysten darauf hinweisen, dass das Vertrauen in Hardware-Wallets beschädigt sein könnte. Dies könnte dazu führen, dass Investoren verstärkt regulierte Anlageprodukte wie ETFs bevorzugen, um technische Risiken der Eigenverwahrung zu umgehen.
