Coldcard-Hack deckt einen lang verborgenen Fehler in der Seed-Zufälligkeit auf

Berichten zufolge hat der Coldcard-Hack fast 114 Mio. USD in BTC von 709+ Adressen gestohlen. Ein Firmware-Fehler soll Wallet-Seed-Generierung mit deutlich weniger Zufälligkeit erzeugt haben als versprochen. Der erste Sweep soll etwa 500 Wallets innerhalb von 25 Minuten geleert haben. Die Problematik sei im März 2021 in die Codebasis von Coldcard eingeflossen und über mehr als fünf Jahre sichtbar geblieben, obwohl der Quellcode öffentlich zugänglich war. Der spätere Artikel ergänzt den breiteren Ansatz der „Trust Gaps“: Er argumentiert, dass das Scheitern durch Prozesse und Anreize geprägt wurde – unter anderem durch Lizenzänderungen und eine damit verbundene Seed-Generierungs-Panne, die in demselben März-2021-Commit eingeführt wurde. Außerdem wird die Gegenwehr der Forschenden erneut aufgegriffen. Offenlegungen im Zusammenhang mit Shift Crypto und Nunchuk (August 2020) seien mit Skepsis begegnet worden; spätere Versuche, ältere Probleme nachzustellen, hätten bis hin zu feindseligem Verhalten und sogar rechtlichen Drohungen geführt. Die Sorge für Trader ist ganz praktisch: Firmware-Updates können Schäden, die bereits durch Seeds entstanden sind, die in verwundbaren Versionen generiert wurden, möglicherweise nicht rückgängig machen. Daher sind Migration und manuelle Geldverschiebungen entscheidend. Nach dem Vorfall sollen die Zuflüsse zu Börsen wieder positiv geworden sein (OKX nannte Rekordzuflüsse), und die Nachfrage nach Spot-BTC-ETFs sei gestiegen (z. B. IBIT/FBTC). Für Trader kann der Coldcard-Hack kurzfristige Volatilität rund um die Erzählungen zu BTC-Custody und Wallet-Sicherheit auslösen; der längerfristige Markteffekt hängt jedoch von schnelleren Sicherheitsüberprüfungen und klareren Leitlinien in Dokumentation und Medien ab. Takeaway zum Coldcard-Hack: Gehen Sie bei Single-Device-Self-Custody von einem höheren Risiko aus und priorisieren Sie verifizierte Verfahren (Audit-Trail, Migration und sicherere Multi-Sig-Praktiken) auch nach „Notfall“-Firmware-Updates.