JANUSZ KRYPTON: Angst auf der Krypto-Straße. Coldcard "gehackt" - Sind Ledger und Trezor sicher?

In der Krypto-Welt sagen wir: "Nicht deine Schlüssel, nicht deine Münzen". Deshalb kaufen wir Hardware-Wallets, diese mythischen "kalten Tresore", und denken, dass wir ruhig schlafen können. Doch plötzlich, Anfang August 2026, erschüttert eine Nachricht den Markt - Coldcard, das Symbol für Sicherheit, die Wallet für Bitcoin-Maxi's, ist Opfer eines "Hackerangriffs" geworden. Was ist passiert? Sind Ledger und Trezor ebenfalls bedroht? Ich habe einen Experten gefragt.
Foto: Everett Collection / / Shutterstock

Viele von euch sind in Panik geraten. Meine Telefone haben heiß gelaufen. "Janusz, was soll ich tun? Wird mein Ledger gehackt? Ist Trezor sicher? Wie soll ich leben?". Beruhigt euch. Wir zünden die Laterne des Wissens an. Um euch genau zu erklären, was passiert ist, und nicht FUD zu verbreiten, habe ich Łukasz Mikuła, einen Cybersecurity-Experten und Mitglied unseres Expertengremiums, kontaktiert. Łukasz hat die technischen Details analysiert und mir in einer ausführlichen E-Mail geantwortet.

Heute, basierend auf den Informationen von ihm und den neuesten Medienberichten, zerlegen wir den Coldcard-Skandal in seine Einzelteile.

Stand heute (5. August 2026): Die Verluste aufgrund des Coldcard-Fehlers könnten bis zu 130 Millionen Dollar (über 2000 BTC) von mehr als 7700 Adressen betragen. Der Zähler wächst weiter.

Was ist passiert? Anatomie eines "Hacks", der kein Hack war

Fangen wir mit dem Wichtigsten an: Niemand hat die Bitcoin-Kryptografie gebrochen. Niemand hat sich physisch in die Geräte gehackt. Das Problem ist viel perfider und betrifft den Moment, in dem... du ein Wallet einrichtest.

Łukasz Mikuła erklärte mir in seiner E-Mail dieses Phänomen in zwei einfachen Sätzen.

• Kurz gesagt, es ging darum, dass beim Einrichten eines Wallets auf Coldcard kein zufälliger privater Schlüssel generiert wurde, sondern es möglich war, vorherzusagen, welche Schlüssel diese Wallets generieren könnten. Und jemand hat ein Skript laufen lassen und hat identische Wallets generiert, wie sie die Kunden von Coldcard hatten...

Das ist die Kurzfassung. Um das Ereignis genauer zu beschreiben, müssen wir ein wenig tiefer eintauchen. Euer privater Schlüssel (ich verweise auf Lektion 2 unserer Reihe) ist in Wirklichkeit eine riesige Zahl. Łukasz erinnert daran, dass sie in dezimaler Schreibweise sogar 78 Ziffern hat, während die Anzahl aller Atome auf der Erde auf "nur" 10⁵⁰ geschätzt wird. Das sind astronomische Werte, die garantieren, dass niemand jemals zufällig denselben Schlüssel wie du generiert.

• Die Idee ist, dass, wenn nur ich meine geheime große Zahl kenne, sie wie ein unvorhersehbares, super komplexes Passwort funktioniert. Und das ist in Ordnung - schreibt Łukasz - Das Problem ist, woher diese Zahl kommt. Wenn du ein Hardware-Wallet konfigurierst, verwendet das Gerät einen Zufallszahlengenerator (RNG), um diesen Schlüssel zu erstellen (repräsentiert durch 12 oder 24 Seed-Wörter).

Und hier kommen wir zum Drama von Coldcard. Aus der Analyse des Bitcoin Engineering and Security-Teams von Block geht hervor, dass der Fehler in der Software (Firmware) lag, die in bestimmten Situationen den ordentlichen hardwarebasierten Zufallszahlengenerator ignorierte und auf einen schlechteren, gewöhnlichen softwarebasierten Ersatz umschaltete.

• In der Programmierung gibt es fertige Komponenten, die sicherstellen, dass das Ziehen immer zufällig ist... aber im Fall von ColdCard war eine solche Komponente deaktiviert. Es ist unklar, warum - einfach an einer Stelle im Code der Wallet-Software war dem Zufallsmodul der Wert „0" zugewiesen, was dessen Deaktivierung bedeutet. Vielleicht ist es das Ergebnis mangelnder Kommunikation im Entwicklerteam, oder vielleicht etwas anderes. Und das ist das Überraschendste daran, dass das Gerät einen ordentlichen Zufallszahlengenerator an Bord hatte, ihn aber einfach nie genutzt hat - erklärt Łukasz Mikuła.

Was ist passiert? Die Journalisten von "CryptoSlate" berichten über einen "Zufallskollaps". Anstatt einer unvorstellbaren Anzahl von Kombinationen hat sich die Anzahl möglicher Wallets so stark verringert, dass ein Hacker mit einem einfachen Skript auf seinem Computer sie einfach nacheinander überprüfen konnte, bis er die Wallets der Kunden fand. Es war kein Angriff auf dein Gerät in der Schublade, sondern ein Angriff auf den Prozess der Entstehung deiner Wallet.

Wer steckt dahinter und das Hacker-Graffiti

Auf der Blockchain gibt es nichts zu verbergen. Forscher von Galaxy Research haben die Adressen des Angreifers identifiziert. Interessanterweise nimmt der Skandal eine kuriose Wendung. Wie CoinDesk berichtet, ist die Wallet des Hackers, auf der die gestohlenen BTC liegen, zu einer öffentlichen Anschlagtafel geworden. Menschen nutzen die OP_RETURN-Funktion (die es ermöglicht, einen kurzen Text zu einer Bitcoin-Transaktion hinzuzufügen), um dem Hacker kleine Zahlungen mit Nachrichten zu senden.

Einige flehen: "Du hast gestohlen, bitte gib wenigstens etwas zurück."

Andere führen härtere Verhandlungen: "Gib 80 % von meinen 5 BTC zurück."

Es gibt auch Opportunisten, die dem Hacker Geldwäsche-Dienste für eine Provision von 10 % anbieten.

Wahnsinn.

Warst du Kunde von Coldcard? Es ist dringend, handle!

Das Unternehmen Coinkite (Hersteller von Coldcard) hat eine dringende Mitteilung herausgegeben. Wenn du die Modelle Mk2 oder Mk3 oder neuere Mk4, Q, Mk5 mit alter Software verwendet hast, bist du gefährdet. Hier ist die entscheidende Anleitung. Achtung, denn hier machen viele einen Fehler:

• Ein einfaches Software-Update reicht nicht aus - warnt Łukasz Mikuła - Es muss durchgeführt werden, aber es schließt die Sicherheitslücke für die Zukunft und ändert nicht den Schlüssel, der bereits kompromittiert sein könnte. Daher muss eine neue Wallet eingerichtet werden - einen neuen Seed-Phrase generieren und sich nicht mit dem alten auf eine andere Hardware-Wallet einloggen - und die Mittel dorthin transferieren.

Im Internet kursiert eine großartige Zusammenfassung dieser Situation: Keine sichere Aufbewahrung wird das Problem beheben, wenn das Passwort von Anfang an schwach war. Selbst wenn du das Blatt mit diesen 12 oder 24 Wörtern in einem titanischen Safe unter der Erde aufbewahrt hast, wenn diese Wörter leicht von einem Computer erraten werden konnten, konnte der Hacker trotzdem das Geld stehlen.

Werden Ledger und Trezor auch brechen? Wie leben?

Das ist die entscheidende Frage. Könnte der Coldcard-Skandal das Vorspiel zu einem Armageddon für die gesamte Branche der Hardware-Wallets sein? CoinDesk zitiert Vincent Bouzon, einen Experten von Ledger, der versucht, zu beruhigen: "Das ist ein Versagen einer Implementierung und kein Urteil über die Selbstverwahrung".

Bouzon fügt hinzu, dass die Alternativen schlechter sind - Software-Wallets sind noch riskanter, und Börsen sind nur Schuldscheine, keine echte Eigentümerschaft.

Und was sagt unser Experte, Łukasz Mikuła, den ich direkt gefragt habe: "Sind Ledger und Trezor sicher?" Hier ist, was er mir antwortete:

• Schwierige Frage - berufliche Neugier erlaubt es mir nicht zu sagen, dass etwas "sicher" ist, ohne zumindest einen Blick in den Code zu werfen... übrigens habe ich in einem unserer ersten Gespräche gesagt, dass es keinen perfekten Ort zur Aufbewahrung von Kryptowährungen gibt, und jedes hat seine Vor- und Nachteile, und daran halte ich fest.

Łukasz weist auf ein fundamentales Problem hin: er kann keinen Code-Audit durchführen, insbesondere dort, wo der Code nicht offen ist, und so funktioniert Ledger in wichtigen Aspekten. Er kann nur "optimistisch annehmen", dass renommierte Marken aus dieser Lektion lernen werden. Doch die wichtigste Schlussfolgerung von Łukasz regt zum Nachdenken an:

• Ich würde jetzt nicht annehmen, dass wir mit einer Welle von Angriffen auf Hardware-Wallets rechnen können, aber die Angreifer, insbesondere organisierte Gruppen mit hervorragender technischer Unterstützung, werden jetzt auch solche Lösungen beobachten, sodass die Hersteller von Wallets vor einer verantwortungsvollen Aufgabe stehen.

Die Lektion aus diesem ganzen Skandal ist einfach und unangenehm: In der Welt der Kryptowährungen gewinnt das Sprichwort "Nicht deine Schlüssel, nicht deine Münzen" eine neue Bedeutung. Heute muss man zusätzlich hinzufügen: Es ist nicht nur wichtig, wer den Schlüssel hält, sondern auch, wer und wie er ihn für dich hergestellt hat.

Alle Einträge aus meinem Tagebuch findet ihr an diesem Ort. Ich lade euch auch ein, meine Facebook-Seite zu besuchen. E-Mails könnt ihr an die Adresse [email protected] senden.