Ein kanadischer Unternehmer hat mehr als 1,6 Millionen USD in Bitcoin (BTC) von einer Coldcard-Hardwarewallet in weniger als sieben Minuten verloren, Teil einer Welle, die insgesamt 1.367,05 BTC betreffen könnte.
Der Fall zeigt eine unangenehme Wahrheit über Selbstverwahrung: Auch wenn Sie alles richtig machen, kann das manchmal nicht genügen.
So verlor ein Halter 18 BTC in sieben Minuten
Cold Storage bedeutet, dass die privaten Schlüssel auf einem Gerät gespeichert werden, das niemals mit dem Internet verbunden ist. Jonathan Goodman hat diese Regel genau beachtet und seine Coldcard in einem Bankschließfach aufbewahrt.
Seine 18,25 BTC lagen auf Wallets, die in mehreren Tresoren gesichert waren. Er hat seine Seed Phrase nie weitergegeben und jedes Gerät vor Online-Zugriff geschützt.
All das half nichts am 29.7.2026. Zwischen 21:36 Uhr und 21:43 Uhr wurden alle Wallets, die er kontrollierte, geleert.
Folgen Sie uns auf X, um die neuesten Nachrichten direkt zu erhalten.
Goodman erfuhr erstmals von einem größeren Problem, als er sich in seinem Wochenendhaus aufhielt.
Da er zunächst dachte, es betreffe ihn nicht, prüfte er den Kontostand in der Wasabi-Wallet-Software und entdeckte eine Reihe roter Abhebungs-Transaktionen.
Die Schwachstelle lässt sich bis ins Jahr 2021 zurückverfolgen. Ein Fehler im Code, der Seed Phrases erzeugt, hat bestimmte Geräte anfällig gemacht. Angreifer nutzten angeblich künstliche Intelligenz, um die betroffenen Seed Phrases per Brute-Force zu knacken.
Er erstattet Anzeige bei der Polizei und bei der Ontario Securities Commission. Die Chancen auf Rückerstattung sind gering, obwohl er schreibt, dass das Schwierigste daran ist, alles richtig gemacht zu haben.
Das Ausmaß reicht weit über ein Opfer hinaus. Galaxy Research hat drei vermutete Angriffswellen ausgemacht, die sich gegen Adressen richten, die mit Coldcard-Geräten generiert wurden.
Diese Wellen betrafen 4.585 Quelladressen und führten zum Verlust von 1.367,05 BTC, was zum Zeitpunkt der Veröffentlichung etwa 88,6 Millionen USD entsprach.
Was Galaxy Research in den Angriffsdaten fand
Galaxy-Research-Leiter Alex Thorn erklärt, dass die Angriffe offenbar andauern. Er rät allen Nutzern, die ihre Gelder auf möglicherweise betroffenen Setups belassen haben, sofort zu handeln.
Die ersten beiden Wellen zeigten ähnliche Transaktionsmuster und könnten von demselben Betreiber stammen, was jedoch noch nicht bestätigt ist. Die dritte Welle war deutlich anders, was darauf hindeutet, dass entweder neue Werkzeuge oder ein anderer Täter den gleichen Schlüsselraum ausnutzt.
Die gestohlenen Bitcoin befinden sich weiterhin auf Adressen unter Kontrolle der Angreifer, ohne weitere Bewegung. Die abgezogenen Bestände lagen zuvor durchschnittlich 3,18 Jahre unberührt auf den Wallets, was darauf hinweist, dass es sich bei den meisten Betroffenen um langfristige Halter und nicht um Institutionen handelt.
Galaxy betont eine wichtige Einschränkung. Die Erkenntnisse beruhen ausschließlich auf On-Chain-Daten und bestätigen nicht endgültig die unzureichende Zufälligkeit bei der Erzeugung der betroffenen Adressen.
„…das ist ein Rückschlag für die Bitcoin-Selbstverwahrung und wir müssen uns als Community verbessern: bei der Sicherheit, bei der Aufklärung und auch darin, realistische Erwartungen und Empfehlungen an Freunde, Familie und die Öffentlichkeit weiterzugeben…“, sagte Alex Thorn .
Analyst Shanaka Anslem Perera hebt eine weitere Ironie in der eigenen Coldcard-Dokumentation hervor. Das Handbuch beschreibt die Standardmethode zur Generierung der Seed Phrase als besonders vertrauenswürdig und bewertet sie zugleich für Nutzer als risikoarm.
Abonnieren Sie unseren YouTube-Kanal, um Expertenmeinungen von Führungskräften und Journalisten zu erhalten.
Es gibt Alternativen auf demselben Gerät. Nutzer können den Hardware-Output mit Würfelergebnissen kombinieren oder ausschließlich Würfel verwenden, was laut Handbuch jedes Vertrauen in die Hardware entfernt. Die meisten Nutzer haben vermutlich den Standardweg genutzt. Gerade diese Methode bringt Galaxy Research nun mit den Verlusten in Verbindung.
Die Diskussion reicht noch tiefer. Reproduzierbarkeit, die bei der Überprüfung von Firmware geschätzt wird, kann bei der Erzeugung von Geheimnissen zum Problem werden. Denn sowohl schwache als auch starke Seeds liefern gültige 24-Wort-Phrasen, die äußerlich gleich aussehen.
Geräte, die mit dem Motto „Don’t Trust, Verify“ beworben werden, können dennoch Entropie-Schwächen enthalten, ohne dass diese sichtbar werden. Betroffene sollten ihr Setup prüfen und bei Bedarf ihre Mittel in Sicherheit bringen.
