Vor wenigen Stunden alarmierte Galaxy Research-Analyst Alex Thorn auf X alle Nutzer des Coldcard Hardware Wallets sofort ihr Vermögen auf ein anderes Wallet umzuziehen. Laut seiner Analyse gab es eine vierte Angriffswelle auf eine Schwachstelle in der Software, bei dem erneut mehrere Hundert Bitcoin gestohlen werden konnten.

Innerhalb weniger Stunden bewegten die Angreifer rund 388,9 Bitcoin. Die Gelder wurden über 218 einzelne Transaktionen verschoben. Nach der Auswertung der Blockchain könnten bis zu 462 Opferadressen betroffen sein.

Das Vorgehen ähnelt den vorherigen Angriffswellen. Die Bitcoin wurden in kurzer Folge von den betroffenen Wallets abgezogen, auf zahlreiche neue Adressen verteilt und anschließend rasch weitergeleitet. Ein Teil der Gelder landete offenbar auf weiteren Wallets oder bei Mixern, mit denen sich Transaktionsspuren verschleiern lassen.

Tipp der Redaktion: CDU-Politiker Gutting zerlegt Klingbeils Steuerpläne zur Krypto-Haltefrist

Wer hinter den Angriffen steckt, ist bislang nicht bekannt. Das enge Zeitfenster und die große Zahl der gleichzeitig betroffenen Adressen sprechen jedoch dafür, dass die Aktion vorbereitet und koordiniert durchgeführt werden.

Schwachstelle machte Seed-Phrasen vorhersehbar

Im Zentrum des Falls steht offenbar ein Fehler in einer älteren Firmware-Version. Dieser könnte dazu geführt haben, dass bestimmte Coldcard-Geräte vorhersagbare Seed-Phrasen erzeugten.

Eine Seed-Phrase besteht aus einer Reihe von Wörtern und dient als Generalschlüssel zu einer Bitcoin-Wallet. Wer sie kennt, kann die Wallet auf einem anderen Gerät wiederherstellen und über die darin liegenden Bitcoin verfügen. Ein physischer Zugriff auf das ursprüngliche Gerät ist dafür nicht erforderlich.

Den Angreifern gelang es offenbar, die fehlerhaft erzeugten Seed-Phrasen zu rekonstruieren. Dadurch konnten sie die betroffenen Wallets übernehmen und die Bitcoin abziehen.

Gerade bei Coldcard wiegt eine solche Schwachstelle schwer. Die Hardware-Wallet gilt unter vielen Bitcoinern als sicher, weil sie weitgehend offline verwendet werden kann. Private Schlüssel sollen dadurch vor Angriffen aus dem Internet geschützt bleiben.

Ein Fehler bei der Erzeugung der Seed-Phrase kann diesen Schutz jedoch vollständig aushebeln. Ist der Seed vorhersehbar, hilft auch die Trennung vom Internet nicht mehr.

Verluste steigen auf mehr als 90 Millionen Dollar

Die jüngsten Transfers gelten als vierte bekannte Angriffswelle. Über alle bisherigen Vorfälle hinweg sollen bereits Bitcoin im Wert von mehr als 90 Millionen Dollar gestohlen worden sein.

Eine genaue Aufteilung der Verluste auf die einzelnen Wellen liegt bislang nicht vor. Die Gesamtsumme ergibt sich aus den bisher bekannten und auf der Blockchain identifizierten Abflüssen.

Auch bei den früheren Angriffen zeigte sich ein ähnliches Muster: Die Coins wurden zunächst von zahlreichen Wallets abgezogen, anschließend auf viele Adressen verteilt und innerhalb kurzer Zeit weiterbewegt. Dieses Vorgehen erschwert es, den weiteren Weg der Gelder nachzuvollziehen.

Thorn hob bei seiner Analyse vor allem die ungewöhnliche Häufung der jüngsten Transfers hervor. Dass innerhalb weniger Stunden Hunderte mögliche Opferadressen angesprochen wurden, deutet darauf hin, dass die Angreifer bereits über eine größere Liste kompromittierter Wallets verfügt haben könnten.

Ein Update allein reicht möglicherweise nicht

Betroffen sind vor allem Nutzer, die ältere Firmware-Versionen eingesetzt haben. Ein nachträgliches Software-Update könnte für sie jedoch nicht ausreichen.

Wurde eine Seed-Phrase mit der fehlerhaften Firmware erzeugt, bleibt sie potenziell kompromittiert – selbst wenn das Gerät inzwischen aktualisiert wurde. Nutzer müssten ihre Bitcoin daher auf eine neue Wallet übertragen, deren Seed vollständig neu und mit einer sicheren Software-Version erstellt wurde.

Nach bisherigem Kenntnisstand konzentriert sich das beobachtete Angriffsmuster auf Coldcard-Geräte. Hinweise darauf, dass andere Hardware-Wallets wie Ledger, Trezor oder BitBox auf dieselbe Weise betroffen sind, gibt es derzeit nicht.

Lesetipp: IOTA landet Mega-Deal: Argentiniens Transplantationsbehörde geht onchain

Der Fall zeigt dennoch ein grundsätzliches Risiko von Hardware-Wallets. Ihre Sicherheit hängt nicht allein davon ab, dass private Schlüssel offline gespeichert werden. Ebenso wichtig ist, dass die Software im Hintergrund zuverlässig arbeitet und bei der Erstellung der Seed-Phrase tatsächlich zufällige Werte erzeugt.

Genau an diesem Punkt scheint die Schutzkette versagt zu haben. Für die Betroffenen bedeutet das: Selbst ein Gerät, das als besonders sicher gilt, kann zum Risiko werden, wenn die zugrunde liegende Software einen entscheidenden Fehler enthält.