Am 30. Juli begann ein Angreifer, Bitcoin von Adressen abzuziehen, die mit Coldcard erzeugt worden waren, dem ausschließlich auf Bitcoin ausgerichteten Hardware-Wallet des kanadischen Unternehmens Coinkite. Allein beim ersten Zugriff verschwanden binnen rund 25 Minuten etwa 594 BTC aus rund 500 Wallets.1 Bis zum 4. August ging Galaxy Research mit hoher Sicherheit davon aus, dass in drei bestätigten Wellen und 14 kleineren Vorfällen 1.596 BTC aus etwa 7.300 Adressen abgeflossen waren, im Wert von mehr als 100 Mio. USD. Rechnet man eine vermutete, aber unbestätigte vierte Welle hinzu, könnte die Summe rund 2.055 BTC oder etwa 130 Mio. USD erreichen. Mindestens 15 voneinander unabhängige Angreifer setzten an derselben Schwachstelle an, und der Angriff lief weiter.2
Ursache war weder ein Phishing-Link noch ein gestohlenes Gerät. Coinkites Sicherheitshinweis führt sie auf eine Firmware-Änderung vom März 2021 zurück, die die Schlüsselerzeugung vom Hardware-Zufallszahlengenerator des Chips auf einen vorhersagbaren Software-Generator verlagerte. Damit schrumpfte der Schlüsselraum so weit, dass ein Angreifer die Schlüssel offline rekonstruieren konnte, ohne das Gerät je zu berühren. Betroffen sind ausschließlich Single-Signature-Wallets. Coinkite hat die betroffenen Modelle und Firmware-Versionen veröffentlicht.3
Warum dieser Fall anders liegt
Die korrigierte Firmware kam am 31. Juli, doch ein Patch repariert keinen Schlüssel, der bereits erzeugt wurde. Besitzer müssen einen neuen Schlüssel anlegen und ihre Bitcoin auf die neuen Adressen übertragen. Ausgenommen ist eine Minderheit von Konfigurationen, die mit ausreichend eigener, unabhängiger Entropie aufgesetzt wurden.3
Unangenehm ist, wen es getroffen hat. Es traf Halter, die die Argumente gelesen, ein angesehenes, ausschließlich für Bitcoin gebautes Gerät gekauft und ihre Bitcoin von den Exchanges geholt hatten. Der Defekt blieb mehr als fünf Jahre unsichtbar, und kein noch so umsichtiges Verhalten des Besitzers hätte ihn ans Licht bringen können.
Die Marktreaktion kehrte das FTX-Muster um. Ende 2022 zogen Halter ihre Bitcoin von den Exchanges ab. Diesmal schickten sie ihre Bitcoin zurück. CryptoQuant registrierte am 31. Juli 39.600 BTC, die in Transaktionen von jeweils unter 1 BTC bewegt wurden, knapp unter den 39.900 BTC vom 16. November 2022, wenige Tage nach dem Insolvenzantrag von FTX. Die Netto-Zuflüsse auf die Exchanges erreichten 11.163 BTC.4
Verwahrung ist ein Spektrum, keine Glaubensfrage
Eigene Schlüssel halten oder ein börsennotiertes Produkt? Die Frage kehrt nach jedem Vorfall zurück, und jene, die diese Branche aufgebaut haben, wollen sich nicht festlegen.
Wir haben Adam Back im vergangenen Jahr danach gefragt. Der Kryptograf, heute Vorstandschef von Blockstream, gehört zu der Handvoll Forscher, deren Arbeiten im Bitcoin-Whitepaper zitiert werden. Seine Antwort: „Beides. Ich habe tatsächlich beides gemacht. ETFs bieten Vorteile bei der Portfolio-Integration und bei der Beleihung… Aber Eigenverwahrung ist entscheidend, um Dezentralität und Unveränderlichkeit zu bewahren.“ Schon zuvor hatte er gewarnt, dass „Eigenverwahrung nicht für jeden etwas ist“.5
David Marcus, früher Präsident von PayPal, danach verantwortlich für Metas Digitalwährungsvorhaben und heute Chef von Lightspark, wirbt offen für die Eigenverwahrung und schränkt zugleich ein: „Persönlich halte ich eine Kombination aus Verwahrdiensten vertrauenswürdiger Anbieter und Eigenverwahrung für den besten Weg.“6
Eric Balchunas von Bloomberg verweist auf etwas Prosaischeres: „Wallets sind heute noch zu kompliziert. Wenn es einfacher wird, steige ich vielleicht auf Eigenverwahrung um. Vorerst nehmen mir ETFs diesen Aufwand ab.“7
Was eine Anlagehülle löst und was nicht
Ein ETP schafft das Schlüsselrisiko nicht ab. Es verlagert es auf einen Verwahrer mit institutioneller Schlüsselerzeugung, Multi-Signature-Kontrollen, Prüfungen und Versicherungsschutz, und es ersetzt einen stillen Single Point of Failure durch eine rechenschaftspflichtige Gegenpartei. Im Gegenzug akzeptiert der Anleger Emittenten- und Verwahrrisiko, eine Verwaltungsgebühr und den Verzicht darauf, on-chain über die Bestände zu verfügen. Das ist ein Tausch, keine Verbesserung.
Ein einzelner Firmware-Defekt entscheidet die Debatte ebenso wenig. Peter Todd, ein früher Bitcoin-Entwickler, formulierte den Gegenstandpunkt unverblümt: „Die Eigenverwahrung hat eine viel bessere Sicherheitsbilanz als Dritte.“ Er verwies darauf, dass allein QuadrigaCX die Nutzer rund 200 Mio. USD gekostet habe, etwa doppelt so viel wie die zum Zeitpunkt seines Beitrags bekannten Coldcard-Verluste.8 Willy Woo, der nach eigenen Worten nichts gegen regulierte Produkte hat, argumentiert, dass nur die Eigenverwahrung wirklich souveränes Eigentum verschaffe.9
Beide Lesarten lassen sich vertreten. Für einen Vermögensverwalter lautet die engere Frage, welches Ausfallszenario ein Kunde erkennen, versichern und überstehen kann. Fünf Jahre lang war Coldcard-Besitzern keines der drei möglich.
Quellen
1 Crypto Economy, „Coldcard Vulnerability Turns ‚Impossible to Guess‘ Seeds Into Guessable Ones, Draining 594 BTC“, 31. Juli 2026
2 Galaxy Research, über The Block, „Bitcoin losses from Coldcard hack could swell to $130 million“, 4. Aug. 2026
3 Coinkite, „Coldcard Security Advisory“, 30. Juli 2026, aktualisiert am 1. Aug. 2026
4 CryptoQuant und Timechainindex, über CoinDesk, 2. Aug. 2026
5 CoinShares-Interview, Adam Back, CEO von Blockstream, 23. Mai 2025
6 CoinShares-Interview, David Marcus, CEO und Gründer von Lightspark, 13. Nov. 2025
7 CoinShares-Interview, Eric Balchunas, Senior ETF-Analyst, Bloomberg, 11. Juli 2025
8 Peter Todd, Beitrag auf X, 3. Aug. 2026
9 Willy Woo, Beitrag auf X, über The Crypto Times, 3. Aug. 2026
* CoinShares ist Emittent von börsengehandelten Krypto-Produkten. Die Verlustzahlen sind Schätzungen von Galaxy Research mit Stand vom 4. August 2026. Der Angriff dauerte bei Redaktionsschluss noch an, und die Gesamtsummen wurden wiederholt nach oben korrigiert.