Coldcard-Hacker lassen 87 % des gestohlenen Bitcoins nach einem Diebstahl von 114 Millionen Dollar unbewegt

Mehr als 87 % des Bitcoins, der dem Coldcard-Hack zugeschrieben wird, ist unbewegt geblieben, was 1.561 BTC unter der Kontrolle der Angreifer lässt, nachdem Forscher den Angriff mit Verlusten von 114,7 Millionen Dollar in Verbindung gebracht haben. Zusammenfassung

• Galaxy Research hat 1.789 BTC, die aus 8.865 Adressen gestohlen wurden, dem Coldcard-Hack zugeordnet.
• Etwa 1.561 BTC, oder 87,3 % der zugeordneten Verluste, bleiben unbewegt.
• Einige Bitcoins aus späteren Angriffen wurden durch CoinJoin-Transaktionen und Peel-Chains bewegt.
• Galaxy hat die identifizierten Angreiferadressen mit Börsen, Compliance-Firmen und Strafverfolgungsbehörden geteilt.

Laut einem X-Post von Alex Thorn, dem Forschungsleiter des Unternehmens, hat Galaxy Research 1.789,28 BTC, die aus 8.865 Adressen gestohlen wurden, dem Coldcard-Exploit zugeordnet. Der Bitcoin hatte zum Zeitpunkt des Diebstahls einen Wert von 114,7 Millionen Dollar, während Thorn seinen aktuellen Wert auf etwa 138,8 Millionen Dollar schätzte.

📊 aktualisierte Zahlen zum Coldcard-Exploit

8865 Adressen verloren 1789,28 BTC im Wert von 114,7 Millionen Dollar zum Zeitpunkt des Diebstahls (138,8 Millionen Dollar heute)

-- Verlust nach Adresse
Median 0,00152
Mittelwert 0,20184
Median der Inaktivität 3,2 Jahre
Mittelwert der Inaktivität 3,6 Jahre

-- Verlust nach Opferberichten (221)
Median 1,04272
Mittelwert 3,57792
Inaktivität... pic.twitter.com/d2R29dYyco
--- Alex Thorn (@intangiblecoins) 24. August 2026

Von der Gesamtsumme sind 1.561 BTC, oder 87,3 %, nicht ausgegeben worden und verbleiben in Sammlungs- oder Halteadressen, die von den Angreifern kontrolliert werden. Alle Bitcoins, die mit den ersten drei identifizierten Angriffswellen verbunden sind, sind ebenfalls unbewegt geblieben, was den Forschern einen On-Chain-Nachweis darüber gibt, wo ein großer Teil der gestohlenen Mittel gehalten wird.

Einige Mittel aus späteren Angriffen haben begonnen, sich zu bewegen. Thorn sagte, die Angreifer hätten CoinJoin-Transaktionen, Peel-Chains und andere Methoden verwendet, um die Bewegung von Bitcoin über Adressen hinweg schwerer nachzuvollziehen.

Die meisten Bitcoins aus dem Coldcard-Hack sind nachverfolgbar

Die neuesten Zahlen von Galaxy umfassen sowohl eine Analyse auf Adressenebene als auch Informationen, die direkt von Opfern eingereicht wurden, während die Forscher weiterhin Wallets kartieren, die mit dem Exploit verbunden sind.

Über die 8.865 Adressen, die von der Firma identifiziert wurden, betrug der Medianverlust 0,00152 BTC und der Durchschnitt lag bei 0,20184 BTC, laut den von Thorn geteilten Zahlen. Die betroffenen Bitcoins waren auch über lange Zeiträume inaktiv, bevor sie gestohlen wurden, mit einer medianen Inaktivität von 3,2 Jahren und einem Durchschnitt von 3,6 Jahren.

Opferberichte zeigen schwerere Verluste auf individueller Basis. Galaxy hat 221 Berichte erhalten, die 790,72 BTC abdecken, was 44,2 % des insgesamt dem Exploit zugeordneten Bitcoins entspricht. Der mediane gemeldete Verlust betrug 1,04272 BTC und der Durchschnitt 3,57792 BTC.

Thorn stellte separat klar, dass der Median bedeutet, dass mindestens die Hälfte der 221 berichtenden Opfer 1 BTC oder mehr verloren hat. Die Bitcoins, die durch diese Berichte abgedeckt sind, waren median 3,25 Jahre vor dem Diebstahl inaktiv, während die durchschnittliche Inaktivitätsdauer 2,99 Jahre betrug.
Sie könnten auch interessiert sein: Coldcard-Diebstahl: FBI könnte 1.082 BTC-Angreifer kennen

Die bestätigte Bilanz könnte nicht alle Verluste berücksichtigen, die mit dem Vorfall in Verbindung stehen. Thorn sagte, dass die Einbeziehung von Adressen mit mittlerem Vertrauen, die noch nicht bestätigt wurden, die Schätzung auf etwa 1.824 BTC erhöhen würde, was zum Zeitpunkt der jeweiligen Diebstähle etwa 140 Millionen Dollar wert war.

Frühere Schätzungen änderten sich, als Forscher zusätzliche Opferadressen und Angriffsmuster identifizierten. TRM Labs sagte am 5. August, dass der Vorfall mehrere Wellen umfasste, die am 30. Juli begannen, und die Diebstähle auf ein Firmware-Problem zurückführten, das die Zufälligkeit schwächte, die beim Generieren einiger Coldcard-Wallet-Samen verwendet wurde.

Laut TRM Labs führte ein Build-Konfigurationsfehler, der durch die Firmware im März 2021 eingeführt wurde, dazu, dass betroffene Geräte auf einen schwächeren Software-Zufallszahlengenerator zurückfielen, anstatt sich vollständig auf hardwaregenerierte Entropie zu verlassen. Die Sicherheitsfirma sagte, dass die resultierende Schlüsselsicherheit so niedrig sein könnte, dass private Schlüssel durch Brute-Force-Computing ohne physischen Zugriff auf die Wallet wiederhergestellt werden könnten.

Angreifer haben begonnen, einige spätere Diebstähle zu verschleiern

Während die größten Bestände geparkt bleiben, hat Galaxy unterschiedliche Transaktionsverhalten bei den während späterer Angriffe entnommenen Mitteln festgestellt.

CoinJoin kann Transaktionen von mehreren Teilnehmern kombinieren, um es schwieriger zu machen, einzelne Eingaben mit ihren endgültigen Ausgaben zu verbinden. Peel Chains beinhalten das wiederholte Bewegen kleinerer Beträge von einem größeren Guthaben in neue Adressen, wodurch längere Transaktionsspuren für Ermittler entstehen.

Galaxy hat diese Bewegungen weiterhin verfolgt und identifizierte Angreiferadressen mit Kryptowährungsbörsen, Compliance-Unternehmen und Strafverfolgungsbehörden geteilt. Thorn sagte, dass der Aufwand es zentralisierten Plattformen ermöglichen könnte, gestohlene Bitcoins zu identifizieren und möglicherweise einzufrieren, wenn Angreifer schließlich Gelder in Dienste senden, bei denen Konten oder Transaktionen abgefangen werden können.

Das Fehlen von Bewegungen über die ersten drei Wellen ist besonders wichtig für die Verfolgungsbemühungen, da die entsprechenden Bitcoins noch nicht durch die in späteren Aktivitäten beobachteten Verschleierungstechniken gegangen sind. Forscher können daher bekannte Adressen weiterhin auf ausgehende Transaktionen überwachen.

Anfang August berichtete auch TRM Labs, dass die meisten gestohlenen Mittel in einer begrenzten Anzahl von von Angreifern kontrollierten Adressen gebündelt waren, mit wenig Weiterbewegung zu diesem Zeitpunkt. Unterschiede zwischen den Transaktionsstrukturen über die Angriffs-Wellen führten das Unternehmen zu der Aussage, dass mehrere Angreifer beteiligt gewesen sein könnten, obwohl es den Exploit keinem bestimmten Akteur zuschrieb.

Coldcard-Sicherheit hatte sich auf Offline-Schlüsselaufbewahrung konzentriert

Der Vorfall hat die Aufmerksamkeit auf eine Hardware-Wallet-Marke gelenkt, die speziell auf die Selbstverwahrung von Bitcoin ausgerichtet ist.

Im Mai berichtete crypto.news zuvor, dass Coinkite den Coldcard MK5 veröffentlicht hatte, seine erste Hardware-Revision der Flaggschiff-MK-Reihe seit dem MK4, der 2022 erschien. Das Gerät behielt ein duales Sicherheitsdesign bei, das Komponenten von zwei Chip-Herstellern verwendete, und unterstützte weiterhin luftdicht abgeschottete Transaktionsabläufe.

Der MK5 führte auch ein größeres Gorilla-Glas-Display, neu gestaltete physische Tasten und verbesserte NFC-Funktionalität ein. Coinkite erklärte zu diesem Zeitpunkt, dass das Gerät weiterhin Open-Source-Firmware verwendete und sein Bitcoin-Only-Design beibehielt.

Die Sicherheit von Wallets hatte bereits vor dem Verlust von Coldcard an Aufmerksamkeit gewonnen. Im Juli gab Coinspect eine Schwäche bekannt, die es "Ill Bloom" nannte, die sich auf schlechte Zufälligkeit bei der Generierung von Wiederherstellungsphrasen über mehrere Software-Wallets bezog. Das Sicherheitsunternehmen gab an, dass bis Anfang Juli etwa 5 Millionen Dollar von exponierten Wallets bewegt worden waren, obwohl Hardware-Wallets von diesem speziellen Problem unberührt schienen.

Schlechte Zufälligkeit kann in Kryptowährungs-Wallets besonders gefährlich werden, da Seed-Phrasen letztendlich die privaten Schlüssel bestimmen, die die Vermögenswerte kontrollieren. Wenn die zufällige Eingabe, die zur Erstellung eines Seeds verwendet wird, zu wenig Entropie enthält, kann ein Angreifer mit ausreichenden Rechenressourcen in der Lage sein, den reduzierten Bereich möglicher Kombinationen zu durchsuchen.

Risiken von Hardware-Wallets haben frische Aufmerksamkeit auf sich gezogen

Andere Vorfälle von Wallet-Sicherheit in diesem Sommer beinhalteten unterschiedliche Angriffsarten.

Die Forscher von Ledger's Donjon demonstrierten im Juli einen Laserangriff gegen eine Tangem-Wallet-Karte, der das Zurücksetzen ihres Passworts ermöglichen und potenziell Transaktionen signieren könnte. Tangem erklärte, dass die Methode den physischen Besitz der Karte, spezielles Wissen und Laborausrüstung im Wert von etwa 250.000 Dollar erforderte, was den Angriff von einer aus der Ferne ausnutzbaren Schwäche der Wallet unterschied.

Der Onchain-Ermittler ZachXBT kritisierte ebenfalls im Juli Hardware-Wallets und sagte, dass er bestehende Geräte nicht für geeignet hielt, um kritische Transaktionen zu signieren oder große Mengen an Kryptowährung zu halten. Seine Kommentare stellten eine persönliche Einschätzung dar und waren zu diesem Zeitpunkt nicht mit Beweisen für einen neuen Hardware-Kompromiss verbunden.

Der Coldcard-Vorfall betrifft einen anderen Fehlerpunkt, da Forscher die Diebstähle mit der Seed-Generierung auf betroffenen Geräten in Verbindung bringen. TRM Labs erklärte, dass die Installation aktualisierter Firmware einen ursprünglich mit schwacher Zufälligkeit erzeugten Seed nicht repariert, was bedeutet, dass Benutzer mit betroffenen Wallets einen neuen Seed auf sicherer Hardware generieren und ihre Bitcoins auf Adressen übertragen müssen, die daraus abgeleitet sind.

Für die Ermittler bleibt das gestohlene Bitcoin selbst die Hauptquelle für Beweise. Galaxy hat weiterhin bestätigte Angreifer-Adressen an Börsen, Compliance-Firmen und Strafverfolgungsbehörden verteilt und überwacht die 1.561 BTC, die bisher nicht aus den von Angreifern kontrollierten Sammel- und Halte-Wallets abgeflossen sind.
Mehr erfahren: Monad schlägt ein Wallet-Upgrade für Passkeys, Wiederherstellung und Quanten-Sicherheit vor