Whitehats verschieben 52 BTC aus dem Coldcard-Fehler in einen Trust
Victoria Shinder1 Min. LesezeitAls Whitehats beschriebene Akteure haben 52,37 BTC im Zusammenhang mit dem Coldcard-Vorfall vom Juli an eine Adresse verschoben, die einem neu gegruendeten Recovery-Trust zugeordnet wird. Das berichtet CoinDesk am 22. September 2026 unter Berufung auf Alex Thorn, Forschungsleiter bei Galaxy Digital. Die Empfaengeradresse traegt eine OP_RETURN-Nachricht mit Verweis auf eine Recovery-Trust-Domain.
Zugrunde liegt ein Fehler bei der Seed-Erzeugung. Ab dem 30. Juli erzeugten betroffene Wallets in mehreren Wellen Seeds aus einer schwaecheren softwarebasierten Zufallsquelle statt aus dem dedizierten Zufallszahlengenerator des Geraets, wodurch manche Seeds fuer Angreifer rekonstruierbar wurden. Die gemeldeten Verluste liegen ueber 100 Millionen Dollar in Bitcoin. Coinkite, Hersteller der Coldcard, hat die Firmware gepatcht.
Eine Folge steht klar in der Berichterstattung und verdient Wiederholung: Bereits unter den alten Seeds exponierte Mittel bleiben gefaehrdet, unabhaengig vom Patch.
Was das bedeutet
Ein Firmware-Fix verhindert neue schlechte Seeds. Einen alten kann er nicht ungeschehen machen. Jede Wallet, deren Seed auf dem fehlerhaften Weg entstand, ist in dem Sinne dauerhaft kompromittiert, auf den es ankommt — das Geheimnis stammt aus einem Raum, den ein Angreifer absuchen kann — und das einzige Mittel ist, die Mittel auf korrekt erzeugte Schluessel zu bewegen.
Der OP_RETURN-Hinweis ist fuer sich bemerkenswert: Den Anspruchsweg on-chain zu veroeffentlichen, angeheftet an die Transaktion mit den Mitteln, macht den Wiederherstellungspfad fuer jeden mit einem Block-Explorer pruefbar, statt von einer Ankuendigung abzuhaengen, die sich faelschen laesst. Unvermeidlich schafft es zugleich ein Ziel fuer nachgeahmtes Phishing, und eine On-Chain-Nachricht beweist ihre Platzierung, nicht die Redlichkeit dessen, der sie platziert hat.
Adressen, Trust und Zuordnung haben wir nicht unabhaengig geprueft; sie beruhen auf der zitierten Recherche. ⚠️ Nichts hiervon ist eine Empfehlung, mit einer Adresse oder einem Dienst zu interagieren; Betroffene sollten einen Wiederherstellungsweg ueber die eigenen Kanaele des Wallet-Herstellers verifizieren, bevor sie handeln.