Wenn der Zufall nicht zufällig ist: Was der Coldcard-Vorfall für Ermittler bedeutet
Ab dem 30. Juli 2026 wurden in wenigen Wellen über 7.000 Bitcoin-Adressen von Coldcard-Nutzern leergeräumt, Schaden über 130 Millionen US-Dollar. Ursache war kein Hack, sondern ein Zufallszahlengenerator, der seit 2021 keinen echten Zufall lieferte. Eine Analyse aus forensischer Sicht.
Hardware-Wallets gelten als Goldstandard der Selbstverwahrung: Der private Schlüssel verlässt das Gerät nie, Malware auf dem PC kommt nicht an ihn heran. Der Vorfall um die Coldcard von Coinkite zeigt, dass diese Sicherheit eine stille Voraussetzung hat: Der Schlüssel muss überhaupt erst einmal zufällig erzeugt worden sein.
Was passiert ist
Am 30. Juli 2026 begannen Angreifer, Adressen von Coldcard-Nutzern leerzuräumen. Allein in der ersten Welle wurden rund 1.200 Adressen in 41 Minuten geleert. Weitere Wellen folgten in den Tagen danach. Je nach Auswertung summiert sich der Schaden auf 1.600 bis gut 2.000 BTC aus über 7.000 Adressen, zum damaligen Kurs mehr als 130 Millionen US-Dollar. Es ist der größte bekannte Verlust aus einer Hardware-Wallet-Schwachstelle.
Das Bitcoin-Engineering-Team von Block identifizierte noch am selben Tag die Ursache und veröffentlichte, nachdem die aktive Ausnutzung bestätigt war, eine technische Analyse.
Die Ursache: ein Makro, das nur geprüft, nicht gelesen wurde
Die Coldcard besitzt einen Hardware-Zufallszahlengenerator (TRNG) im STM32-Mikrocontroller. Mit der Firmware-Version 4.0.0 vom März 2021 wurde die Krypto-Bibliothek umgebaut. Dabei prüfte der Code, ob das Makro für den Hardware-RNG definiert war, nicht aber, ob es eingeschaltet war. Das Makro stand auf null. Der Aufruf fiel deshalb still auf den Software-Pseudozufallsgenerator von MicroPython zurück.
Dieser Generator wurde aus drei Werten initialisiert, die nichts mit Zufall zu tun haben: den unteren 32 Bit der Geräte-ID, einem Millisekunden-Zähler des Prozessors und der Uhrzeit der Echtzeituhr. Alle drei sind fix oder zeitabhängig und untereinander korreliert.
Das Ergebnis für die Modelle Mk2 und Mk3 mit Firmware 4.0.0 bis 4.1.9: Statt 128 Bit Entropie hatte ein Seed je nach Annahmen nur 16 bis knapp 41 Bit. Eine Billion Kombinationen klingt nach viel, ist bei einer Million Prüfungen pro Sekunde aber in weniger als zwei Wochen durchgerechnet. Die neueren Modelle Mk4, Q und Mk5 waren über einen zweiten Fehler betroffen: Beim Nachseeden aus dem Secure Element gelangten nur vier Bytes in den Generator, sodass maximal 2^32 verschiedene Seeds entstehen konnten.
Der Angreifer brauchte also keinen Zugriff auf ein Gerät. Er erzeugte offline alle möglichen Seeds, leitete die Adressen ab und glich sie mit der Blockchain ab. Wo ein Guthaben lag, kannte er den Schlüssel.
Coinkite hat Firmware-Updates veröffentlicht, die bei jeder Seed-Erzeugung menschliche Zusatz-Entropie verlangen, etwa 65 Tastendrücke in unregelmäßigen Abständen, 50 Würfelwürfe oder 128 Münzwürfe. Nutzer betroffener Versionen sollten ihre Guthaben auf einen neu erzeugten Seed übertragen.
Was Ermittler daraus mitnehmen
Erstens: „Hardware-Wallet" sagt nichts über die Qualität des Schlüssels. In Ermittlungen begegnet uns regelmäßig das Argument, ein Verlust könne kein Diebstahl sein, weil die Coins auf einer Hardware-Wallet lagen. Der Coldcard-Fall widerlegt das. Umgekehrt gilt: Wer behauptet, Opfer eines solchen Angriffs zu sein, muss plausibel machen, dass sein Seed aus einer betroffenen Firmware stammt.
Zweitens: Massen-Sweeps hinterlassen ein charakteristisches Muster. Tausende Adressen, die über Jahre nie bewegt wurden, werden innerhalb von Minuten geleert und auf wenige Sammeladressen zusammengeführt. Für die Co-Spend-Heuristik ist das ein Geschenk: Jede Konsolidierungs-Transaktion verbindet Dutzende Opfer-Adressen zu einem Cluster, der eindeutig dem Angreifer gehört. Die Opfer-Adressen selbst bleiben dagegen sauber von diesem Cluster getrennt, denn sie haben nie gemeinsam mit fremden Adressen ausgegeben. In Coinator lässt sich so die Täterseite vollständig abgrenzen, ohne dass Opfer-Guthaben fälschlich dem Täter zugerechnet werden.
Drittens: Ruhende Adressen, die plötzlich erwachen, sind ein Alarmsignal. Die Sammeladressen des Angreifers sind on-chain eindeutig identifizierbar. Wir führen sie im Coinator als eigene Entität mit dem Befund Diebstahlserlös, sodass Zuflüsse aus diesen Adressen auf Börsenkonten sofort auffallen. Für Börsen und Banken bedeutet das: Einzahlungen, die auf diese Cluster zurückgehen, sollten bis zur Klärung angehalten werden.
Die unbequeme Lehre
Der Fehler lag fünf Jahre lang in quelloffener Firmware. Es brauchte keine Zero-Day-Lücke und keine Lieferketten-Manipulation, nur einen falsch geprüften Compiler-Schalter. Für die Forensik heißt das: Die Herkunft eines Schlüssels ist ein Beweisthema, nicht nur die Herkunft der Coins. Wie Coinator Konsolidierungs-Cluster und Opfer-Adressen auseinanderhält, erläutern wir in der Methodik-Übersicht.