Kurz nach 1:31 Uhr UTC am 31. Juli leerte jemand rund 500 Bitcoin-Wallets, die auf Coldcard-Mk3-Geräten erstellt wurden. In weniger als 25 Minuten verschwanden 594 BTC — umgerechnet rund 38 Millionen Dollar — von Adressen, von denen viele jahrelang nicht angerührt worden waren.
Coinkite, der Hersteller von Coldcard, verweist auf einen Fehler in der eigenen Firmware. Ab Version 4.0.1 vom März 2021 bis hin zu 5.0.3 — dem letzten Build für den Mk3 — konnte das Gerät bei der Schlüsselerzeugung seinen Hardware-Zufallsgenerator umgehen und stattdessen vorhersehbare Daten verwenden: die Seriennummer des Chips und interne Zeitgeberwerte. Offiziell bestätigt hat Coinkite die Ursache noch nicht, doch unabhängige Blockchain-Forscher bringen den Abfluss bereits mit dieser schwachen Entropie in Verbindung.
Betroffen sind ausschließlich Mk3-Besitzer, die nie eine BIP-39-Passphrase eingerichtet haben — jenes zusätzliche „25. Wort", das aus einem vorhersehbaren Schlüssel etwas Unberechenbares macht. Die neueren Modelle Mk4, Q und Mk5 sind nicht betroffen.
Coinkite rät zu Eile ohne Hektik: umgehend eine starke, einzigartige BIP-39-Passphrase setzen, die Mittel auf einen neuen, auf einem nicht betroffenen Modell erzeugten Seed übertragen, und fortgeschrittene Nutzer können mit mindestens 99 Würfelwürfen auf Firmware 4.1.9 einen neuen Seed erzeugen. „Eine überstürzte Wallet-Migration kann ein unmittelbareres Risiko schaffen als das Problem, das man eigentlich lösen will", warnt das Unternehmen. Das Unbequeme an der Geschichte: Hardware-Wallets gelten als Goldstandard der Selbstverwahrung, gerade weil der Schlüssel den Chip nie verlässt — hier hat ein Firmware-Fehler dieses Versprechen fünf Jahre lang unbemerkt untergraben.
