Coldcard-Hack: Täter der ersten Welle soll dem FBI bereits bekannt sein

Mehr als 1.082 BTC gestohlen — noch immer unberührt in der Wallet des Hackers. Eine konkrete Spur, die zu einem kostenpflichtigen Account bei einem Blockchain-Datenanbieter führt. Und eine Frage, die im Raum steht: Handelt es sich um einen hochentwickelten externen Angreifer — oder um einen Insider, der den Bug seit Jahren kannte?

Der Fall Coldcard bekommt eine neue Dimension. Laut Ermittlern von Block und Analysen von Alex Thorn bei Galaxy Research könnte die Identität des Hackers, der für die erste und massivste Angriffswelle verantwortlich ist, den US-Behörden bereits bekannt sein. Ein Szenario, das Hoffnung auf eine mögliche Rückerstattung für die Opfer lässt — sofern die Gelder eingefroren bleiben.

Hier ist, was bisher bekannt ist, und was die On-Chain-Daten über einen der bedeutendsten Bitcoin-Hacks des Jahres 2026 enthüllen.

1.082 BTC gestohlen: Ein digitaler Fingerabdruck verrät den Hacker

Am 30. Juli 2026 begann ein Angreifer damit, systematisch Coldcard-Wallets zu leeren, deren Seeds unter anfälligen Firmwares generiert worden waren — ein Entropie-Bug, der fünf Jahre lang unentdeckt blieb und bereits ab dem MK2 mit Firmware 4.0.1 vorhanden war. Die erste und massivste Welle bewegte 1.082,65 BTC in einem einzigen koordinierten Vorgang. Die nachfolgenden Wellen brachten das geschätzte Gesamtvolumen auf über 2.000 BTC — rund 118 Millionen US-Dollar bestätigter Diebstahl zum aktuellen Stand.

Das Engineering-Team von Block lieferte über Clay Garrett die bislang stärkste Spur. Bereits am 31. Juli veröffentlichte Garrett die Ergebnisse seiner Untersuchung: „Wir haben ein ungewöhnliches Muster in den Sweeps identifiziert. Dieses Muster führte uns zu einer Hypothese, die inzwischen bestätigt wurde: Der Angreifer nutzte einen kostenpflichtigen Account bei einem bekannten Blockchain-Dienstleister, um die Quelladressen abzufragen und weitere damit verbundene Aktivitäten während der Drains durchzuführen.“ Block kontaktierte den Anbieter — dessen interne Logs mit dem Diebstahlmuster in einer „außerordentlich spezifischen“ Weise übereinstimmen.

Alex Thorn äußerte sich in einem Auftritt auf dem Bitcoin Magazine YouTube-Kanal unmissverständlich: „Die Identität des Angreifers aus Welle 1 ist den Strafverfolgungsbehörden möglicherweise bereits bekannt.“ Die 1.082,65 BTC aus Welle 1 befinden sich noch immer unberührt in der Wallet des Hackers — ein entscheidendes Detail, das die Möglichkeit eines Clawbacks für die Opfer offenhält.

Entropie-Bug oder Insider-Angriff? Die Frage, die alles verändert

Hinter der Jagd nach dem Hacker verbirgt sich eine noch beunruhigendere Frage: Wer kannte diesen Bug von Anfang an? Die Entropie-Schwachstelle, die die Generierung privater Schlüssel auf dem Coldcard MK2 und späteren Versionen (Firmware 4.0.1 und höher) betrifft, lag fünf Jahre lang schlafend. Coinkite selbst hatte öffentlich das Risiko eines sogenannten „Retirement Attacks“ angesprochen — ein Szenario, bei dem ein Insider eine Backdoor beim Verlassen des Unternehmens ausnutzt.

Diese Hypothese ist nicht vom Tisch. Die chirurgische Präzision der Sweeps, die offensichtliche Kenntnis der anfälligen Adressen und die Nutzung eines professionellen Accounts bei einem Blockchain-Datenanbieter deuten auf jemanden hin, der über fortgeschrittenes technisches Know-how verfügt — und möglicherweise privilegierten Zugang zu internen Informationen hatte. Welle 2, die rund 76 weitere BTC zum Gesamtschaden hinzufügt, weist ein hinreichend ähnliches Muster auf, sodass Alex Thorn davon ausgeht, dass es sich um denselben Akteur handelt.

Der Angriff dauert noch an. Coinkite hat eine dringende Sicherheitswarnung veröffentlicht: Alle Nutzer eines Coldcard MK2 oder einer neueren Version mit Firmware 4.0.1 oder höher müssen ihre Gelder sofort überprüfen und transferieren. Nach aktuellen Schätzungen wurden mehr als 5.000 Adressen kompromittiert, und Berichte über neue Opfer gehen weiterhin ein. Das Zeitfenster zum Handeln ist noch offen — aber es schließt sich.