Der Bereich der Eigenverwahrung wurde durch die Entdeckung einer schwerwiegenden Sicherheitslücke bei Coldcard-Hardware-Wallets erschüttert. Die am 30. Juli 2026 identifizierte Schwachstelle, die bereits seit fünf Jahren bestand, ermöglichte den spektakulären Abfluss von 1.824 BTC, was nach aktuellen Berechnungen einem Wert von fast 140 Millionen Dollar entspricht. Dieser in aufeinanderfolgenden Wellen ausgeführte Hackerangriff beruhte auf einem kritischen Defekt im Zufallszahlengenerator bestimmter Modelle, wodurch die geheimen Passphrasen vorhersehbar und somit anfällig für Brute-Force-Attacken wurden.

Der technische Ursprung des Problems lag in einer Softwarebibliothek, die den hardwareseitigen Generator zugunsten weniger robuster Alternativen umging. Während die Hardware eigentlich ein Entropieniveau von 128 Bit garantieren sollte, fiel dieser Wert bei den betroffenen Geräten auf etwa 40 Bit ab. Dies machte das Knacken der Schlüssel selbst mit rudimentären Rechenressourcen oder sogar frei zugänglicher künstlicher Intelligenz möglich. Erwähnenswert ist, dass Nutzer, die eine zusätzliche BIP-39-Passphrase konfiguriert hatten, von diesem Diebstahl verschont blieben – was die Bedeutung einer zusätzlichen Sicherheitsebene über den reinen Wiederherstellungs-Seed hinaus unterstreicht.

Die Reaktion der Halter war von einem massiven Rückzug geprägt, allerdings nicht in Form eines Marktaustritts, sondern einer defensiven Konsolidierung. Fast 120.000 BTC, die zuvor inaktiv waren, wurden von besorgten Eigentümern bewegt, was das gestiegene Misstrauen gegenüber Hardware-Lösungen nach dieser Enthüllung verdeutlicht. Trotz der beachtlichen Beute bleibt der Großteil der entwendeten Gelder – etwa 87 % – unbewegt auf den Wallets der Angreifer, was darauf hindeutet, dass die Geldwäsche dieser Vermögenswerte für die Täter nach wie vor ein komplexes und riskantes Unterfangen darstellt.

Dieser Vorfall legt einen tiefgreifenden Riss im Versprechen einer unfehlbaren Sicherheit dedizierter Hardware offen. Zwar verhindert der vom Hersteller veröffentlichte Software-Patch weitere Kompromittierungen, doch bleibt er für Schlüssel, die vor der Aktualisierung generiert wurden, wirkungslos – was betroffene Nutzer dazu zwingt, ihre Bestände auf neue Adressen zu transferieren. Über die finanziellen Verluste hinaus hat dieses Ereignis das Unternehmen zu einer Änderung seiner Datenspeicherpraktiken gezwungen. Dies stellt die ursprüngliche Philosophie, die auf absoluter Vertraulichkeit basierte, infrage und erinnert daran, dass Sicherheit ebenso sehr von der Qualität des Codes wie von der Sorgfalt der Hardware-Implementierung abhängt.