Am 31. Juli 2026 um 01:31 UTC begann Bitcoin, Wallets zu verlassen, deren Besitzer rein gar nichts getan hatten. Bis 01:56 – fünfundzwanzig Minuten später – waren rund 594 BTC, etwa 38 Millionen $, aus ungefähr 500 Single-Signature-Wallets abgeräumt worden. Spätere Analysen von Galaxy Research und Berichte von Chainalysis brachten bis zu rund 1.083 BTC über etwa 1.196 Adressen damit in Verbindung. Niemand wurde gephisht. Niemand installierte Malware. Niemand gab eine Transaktion frei. Das einzige gemeinsame Merkmal der Opfer war das Erstellungsdatum ihrer Wallet – denn was versagte, war die Wallet-Entropie: die Zufälligkeit, aus der eine Seed-Phrase gemacht ist, festgelegt in der ersten Sekunde im Leben einer Wallet.
Die Wallets waren auf Coldcard-Hardware-Geräten erzeugt worden, und der Fehler dahinter hatte mehr als fünf Jahre lang in ausgelieferter Firmware gesteckt. Dieser Artikel behandelt, was geschah, warum diese Bug-Klasse unsichtbar bleibt, was der Vorfall über Hardware-Wallets aussagt – und was nicht – und was man über die Zufälligkeit jeder Wallet fragen sollte, unsere eingeschlossen.
Ein Fehler von 2021, zu Geld gemacht 2026
Laut Coinkites Advisory gelangte der Fehler mit der Coldcard-Firmware 4.0.0 in die Geräte, veröffentlicht im März 2021. Auf betroffenen Geräten übersprang die Seed-Erzeugung den Hardware-Zufallszahlengenerator und fiel auf Schlüsselmaterial zurück, das aus nicht geheimen Chip-Daten gespeist wurde. Eine BIP39-Seed-Phrase soll 128 Bit Entropie kodieren – 2¹²⁸ mögliche Seeds, ein Raum, den kein Angreifer durchsuchen kann. Seeds, die auf betroffenen Mk3-Geräten erzeugt wurden, trugen stattdessen rund 40 Bit effektive Entropie. 2⁴⁰ sind etwa 1,1 Billionen Kandidaten – gewaltig für einen Menschen, vollständig durchsuchbar für eine Maschine. Das ist die Coldcard-Schwachstelle in einem Satz erklärt: Das Gerät hörte klammheimlich auf, seine eigene Zufälligkeit zu nutzen, und nichts Sichtbares verriet es.
Zwei Gruppen waren nie gefährdet: alle, die ihren Seed mit einer BIP39-Passphrase erstellt hatten, und alle, die ihn aus 50 oder mehr Würfelwürfen erzeugt hatten. Coinkite legte das Problem offen und lieferte korrigierte Firmware aus – 5.6.0 für Mk4 und Mk5, 1.5.0Q für die Q. In den fünf Jahren dazwischen funktionierten betroffene Wallets tadellos und sahen exakt aus wie sichere. Wer den Sweep durchführte, musste nie ein Opfer anrühren: den schwachen Schlüsselraum aufzählen, Adressen ableiten, gegen die Chain abgleichen, alles in einem einzigen 25-Minuten-Fenster bewegen.
Stille Entropieschwächung: Warum die Seeds zufällig aussahen
Das Beunruhigende daran ist, dass an den betroffenen Seeds nie irgendetwas falsch aussah. Ein Seed, der aus 40 Bit vorhersagbarem Input gebaut wurde, kommt trotzdem als zwölf völlig gewöhnliche BIP39-Wörter mit gültiger Prüfsumme heraus. Die Wallet akzeptiert ihn, leitet Adressen ab, signiert Transaktionen; jeder Bildschirm zeigt exakt das, was eine starke Wallet zeigen würde.
Auch statistische Tests helfen nicht: Ein deterministischer Generator, der mit vorhersagbaren Daten initialisiert wurde, erzeugt weiterhin Output, der Zufallstests besteht – die Bits sind gut verteilt, nur eben aus einer katastrophal kleinen Menge möglicher Sequenzen gezogen. Die Schwäche lebt in einer Eigenschaft, die kein Output offenbaren kann: wie viele andere Seeds stattdessen hätten erzeugt werden können. Nur der Erzeugungscode trägt diese Antwort in sich.
Ein schwacher Seed sieht nicht schwach aus. Der Unterschied zwischen 2¹²⁸ und 2⁴⁰ existiert nur in dem Code, der die Wörter erzeugt hat.
Deshalb überdauert diese Bug-Klasse Jahre, und deshalb gehört der Coldcard-Vorfall zu einer Familie. Milk Sad im bx-Tool von Libbitcoin, der MT19937-Generator der Trust-Wallet-Browsererweiterung, Cake Wallet, das Vanity-Adress-Tool Profanity und Randstorm in frühen Browser-Wallets teilen alle dieselbe Gestalt: ein CSPRNG, stillschweigend ersetzt durch eine vorhersagbare Quelle – kein Fehler, keine Warnung, kein sichtbarer Unterschied, bis jemand den Schlüsselraum aufzählt.
Die unbequeme Lehre
„Hardware-Wallet“ bezeichnet einen Formfaktor, keine Garantie. Die am 31. Juli abgeräumten Wallets waren auf eigens dafür gebauter Signier-Hardware erstellt worden – und das war nicht die Ebene, die versagte. Über das Überleben entschied eine Eigenschaft, die Jahre zuvor festgelegt worden war: wie der Seed am Tag der Wallet-Erstellung erzeugt wurde. Alles Nachgelagerte – Cold Storage, air-gapped Signieren, sorgfältige Überprüfung – schützt einen Schlüssel davor, gestohlen zu werden. Nichts davon hilft, wenn der Schlüssel neu erzeugt werden kann.
Ebenso wichtig ist, dass Coinkite den Fehler offenlegte und umgehend korrigierte Firmware auslieferte. Dies ist keine Geschichte über einen nachlässigen Anbieter; es ist ein Versagensmuster, das die Branche immer wieder neu entdeckt, in Hardware wie in Software. Jede Wallet – unsere eingeschlossen – ist genau einen stillen Fallback von derselben Bug-Klasse entfernt. Die ehrliche Frage lautet nicht „Welcher Anbieter ist immun?“, sondern „Wie würde diese Wallet versagen, und würde es jemand bemerken?“
Fünf Fragen zur Zufälligkeit jeder Wallet
Du musst kein Kryptograf sein, um die Messlatte höher zu legen. Fünf Fragen sortieren Wallets auf sinnvolle Weise:
- Was ist die Entropiequelle? Ein Seed sollte aus einem CSPRNG stammen, nicht aus Zeitstempeln, Gerätekennungen oder irgendetwas, das ein Außenstehender rekonstruieren könnte.
- Was passiert, wenn diese Quelle ausfällt? Die akzeptable Antwort ist ein harter Fehler, der die Wallet-Erstellung stoppt. Die inakzeptable ist ein stiller Ersatz – der stille Fallback ist das definierende Merkmal dieser Bug-Klasse.
- Ist der Erzeugungspfad Open Source und überprüfbar? Schwache Entropie ist im Output unsichtbar, also ist Code-Review der einzige Ort, an dem sie sich aufspüren lässt.
- Unterstützt die Wallet eine BIP39-Passphrase? Eine Passphrase fügt geheimes Material hinzu, das der Generator des Geräts nie berührt hat. Sie ist der Grund, warum Passphrase-Nutzer auf betroffenen Coldcards nichts verloren.
- Werden die Schlüssel in einer MultiSig auf unabhängigen Geräten erzeugt? Unabhängige Geräte bedeuten unabhängige Zufälligkeit: Ein fehlerhafter Generator kompromittiert einen Schlüssel, nicht das Quorum.
Wie Ownbit Entropie erzeugt
Fragen wie diese verdienen konkrete Antworten zu unserem eigenen Produkt. Ownbits Mnemonic-Erzeugung hat zwei Ebenen. Auf App-Ebene ruft generateMnemonicRandom(entropy, langIndex) generateMnemonic aus der Standard-bip39-Bibliothek auf – standardmäßig 128 Bit Entropie, mit acht unterstützten BIP39-Wortlisten: Englisch, vereinfachtes und traditionelles Chinesisch, Japanisch, Französisch, Italienisch, Koreanisch und Spanisch. Auf Bibliotheksebene bezieht randomBytes von bip39 seine Daten aus crypto.getRandomValues – dem CSPRNG der Plattform.
Entscheidend ist, was passiert, wenn diese Quelle nicht verfügbar ist: Die Bibliothek wirft einen Fehler. Sie befragt weder eine Uhr noch eine Chip-Kennung noch irgendeine Sekundärquelle – es gibt keinen Fallback-Pfad im Code. Der Versagensmodus ist ein lauter Fehler im Moment der Erstellung, niemals ein stillschweigend schwächerer Seed. Diese Eigenschaft – laut versagen, nie zurückfallen – ist das exakte Gegenteil des Fehlers hinter dem Coldcard-Vorfall, Milk Sad und Randstorm, wo die Erzeugung klammheimlich mit einer vorhersagbaren Quelle weiterlief.
Wir behaupten nicht, dass Ownbit dadurch immun gegen Bugs wäre; das kann kein ehrlicher Anbieter. Was es konstruktionsbedingt beseitigt, ist diese Versagensgestalt: Es existiert kein Codepfad, auf dem eine Ownbit-Wallet stillschweigend einen schwachen Seed erzeugt. Der Rest des Modells ist auf unserer Sicherheitsseite dargelegt.
Warum unabhängig erzeugte Schlüssel diese Bug-Klasse überleben
Der Sweep vom 31. Juli traf Single-Signature-Wallets: ein Seed, eine Signatur, Gelder weg – der Lehrbuchfall einer Seed-Phrase als Single Point of Failure. MultiSig ändert die Arithmetik. In einer Ownbit-MultiSig-Wallet ist jeder Schlüssel eine eigene standardmäßige BIP39-Seed-Phrase, erzeugt auf dem eigenen Gerät des jeweiligen Teilnehmers. Angenommen, ein Gerät trüge exakt diese Klasse von Fehler. In einer 2-von-3-Wallet hält ein Angreifer, der den schwachen Schlüsselraum aufzählt, einen Schlüssel – unterhalb des Schwellenwerts. Nichts bewegt sich. Ein schwacher Schlüssel wird zur Wartungsaufgabe – rotiere ihn – statt zu einem Verlust.
Der Schutz kommt von der Unabhängigkeit, nicht vom Wort „MultiSig“. Drei Mitsigner-Schlüssel, erzeugt auf demselben fehlerhaften Gerätemodell, würden gemeinsam versagen. Drei Schlüssel, geboren auf wirklich verschiedenen Geräten – deinem Alltagshandy, einem ausrangierten Smartphone, das offline als QR-signierende Cold Wallet dient, dem Gerät eines Familienmitglieds – teilen keinen Generator, also teilen sie keinen Bug. Dieselbe Logik erklärt, warum eine BIP39-Passphrase betroffene Coldcard-Nutzer rettete: Die Passphrase ist geheimes Material, das der RNG des Geräts nie erzeugt hat, also reichte das Aufzählen von 2⁴⁰ Seeds nicht aus, um Geld zu bewegen.
Falls du eine betroffene Coldcard besitzt
Drei Maßnahmen:
- Aktualisiere die Firmware. Die in Coinkites Advisory genannten korrigierten Versionen sind 5.6.0 für Mk4 und Mk5 sowie 1.5.0Q für die Q.
- Verschiebe die Gelder auf einen neuen Seed, der auf korrigierter Firmware erzeugt wurde. Das Update schützt künftige Seeds; einen bestehenden kann es nicht stärken. Ein Seed, der mit rund 40 Bit geboren wurde, bleibt für immer aufzählbar – lege ihn vollständig still, verwende ihn nie wieder, sende nie wieder Gelder an seine Adressen.
- Tippe eine bestehende Seed-Phrase niemals in eine Website ein, die anbietet zu „prüfen“, ob sie verwundbar ist. Einen Seed irgendwo online einzugeben ist der Weg, auf dem verbliebene Gelder verschwinden; „Checker“-Seiten sind nach Vorfällen wie diesem ein stehendes Phishing-Muster.
Häufig gestellte Fragen
Was ist Wallet-Entropie?
Wallet-Entropie ist die Zufälligkeit, mit der eine Seed-Phrase erstellt wird. Ein standardmäßiger 12-Wort-BIP39-Seed kodiert 128 Bit davon – 2¹²⁸ mögliche Seeds. Ist der Generator vorhersagbar, kollabiert die tatsächliche Zahl möglicher Seeds, und ein Angreifer kann sie aufzählen – unabhängig davon, wie der Seed danach aufbewahrt wurde.
Ist meine Coldcard betroffen?
Laut Coinkites Advisory gelangte der Fehler im März 2021 mit Firmware 4.0.0 in die Geräte, und betroffene Mk3-Seeds trugen statt 128 nur rund 40 Bit effektive Entropie. Seeds, die mit einer BIP39-Passphrase oder aus 50 oder mehr Würfelwürfen erstellt wurden, sind nicht gefährdet. Im Zweifel: auf die korrigierte Firmware aktualisieren – 5.6.0 für Mk4/Mk5, 1.5.0Q für die Q – und die Gelder auf einen neu erzeugten Seed verschieben.
Kann man einem schwachen Seed die Schwäche ansehen?
Nein. Ein schwacher Seed erzeugt weiterhin zwölf normale Wörter mit gültiger Prüfsumme, und statistische Tests können eine vorhersagbare Quelle nicht aufdecken. Stärke ist eine Eigenschaft des Erzeugungscodes, nicht der Wörter – weshalb die betroffenen Wallets mehr als fünf Jahre lang unbemerkt blieben.
Schützt MultiSig vor schwacher Entropie?
Strukturell ja – vorausgesetzt, die Schlüssel werden auf unabhängigen Geräten erzeugt. Ein schwacher Schlüssel gibt einem Angreifer eine Signatur – unterhalb eines M-von-N-Schwellenwerts –, also bewegen sich keine Gelder. Schlüssel, die auf demselben fehlerhaften Gerätemodell erzeugt wurden, könnten gemeinsam versagen; deshalb zählt Unabhängigkeit ebenso viel wie der Schwellenwert.
Sollte ich keine Hardware-Wallets mehr benutzen?
Nein. Die Lehre ist enger gefasst: Der Begriff „Hardware-Wallet“ ist nicht selbst die Garantie – wie der Seed erzeugt wurde, ist es. Nutze weiterhin gut gepflegte Geräte, spiele Firmware-Updates ein, füge, wo unterstützt, eine BIP39-Passphrase hinzu und lege ernsthafte Guthaben hinter einen MultiSig-Schwellenwert statt hinter irgendeinen einzelnen Seed.
Wenn dieser Vorfall dich dein eigenes Setup überdenken lässt, ist die strukturelle Lösung, keinen einzelnen Seed mehr allein zwischen deinen Geldern und einem Angreifer stehen zu lassen. Ownbits MultiSig-Wallet legt einen M-von-N-Schwellenwert über Schlüssel, die auf unabhängigen Geräten erzeugt werden – jeder eine standardmäßige BIP39-Seed-Phrase. Jeder neue Nutzer erhält eine 7-tägige kostenlose Testphase, und deine Schlüssel bleiben ohnehin deine.