1.367 Bitcoin. Aus mehr als 4.500 verschiedenen Wallets. Abgezogen in kurzer Zeit, ohne dass jemand die Geräte physisch in der Hand hatte. Laut Reuters und mehreren Fachmedien traf es Ende Juli 2026 Nutzer der Hardware-Wallet Coldcard. Reuters bezifferte den Schaden auf rund 86 Millionen US-Dollar, umgerechnet etwa 75 Millionen Euro. Die Angaben schwankten in der Berichterstattung allerdings erheblich, bei der Menge von etwa 1.082 bis 1.367 Bitcoin, und beim Gegenwert wurde mit fortlaufender Auswertung teils nach oben korrigiert. Was sich nicht änderte, war die unbequeme Erkenntnis dahinter.

Eine Hardware-Wallet gilt vielen als der Goldstandard der Krypto-Sicherheit. Das Gerät, das nie ins Internet muss. Der Tresor für die eigenen Coins. Und trotzdem waren tausende Nutzer betroffen, die genau das getan hatten, was ihnen alle empfehlen: selbst verwahren, offline, in einer Cold Wallet.

Kurz erklärt: Was eine Hardware-Wallet überhaupt tut

Eine Wallet verwahrt nicht deine Bitcoin – die liegen auf der Blockchain, dem öffentlichen Kassenbuch. Was die Wallet verwahrt, ist der private Schlüssel (Private Key): die geheime Zahlenfolge, mit der du Transaktionen unterschreibst. Wer den Schlüssel hat, hat die Coins. So einfach, so gnadenlos.

Eine Hardware-Wallet ist ein kleines Gerät, das diesen Schlüssel abgeschottet vom Internet aufbewahrt. Der Gedanke: Wenn der Schlüssel das Gerät nie verlässt und das Gerät nie online ist, kann ihn auch kein Angreifer aus der Ferne abgreifen. Man nennt das „air-gapped“, wörtlich durch eine Luftlücke vom Netz getrennt. Im Sprachgebrauch heißt so eine Lösung Cold Wallet, im Gegensatz zur Hot Wallet, die dauerhaft mit dem Netz verbunden ist.

Beim Einrichten erzeugt das Gerät einen Seed: eine Reihe von meist zwölf oder 24 Wörtern, aus der sich alle Schlüssel ableiten. Diese Wörter sind dein Notfall-Backup, deshalb heißen sie auch Recovery-Wörter. Und genau an dieser Stelle wurde es diesmal gefährlich.

Der eigentliche Bruch lag nicht in der Blockchain

Nach den Berichten von TheStreet und anderen lag die Ursache nicht im Bitcoin-Code und auch nicht in einem gestohlenen Gerät. Sie lag in der Firmware, der Betriebssoftware bestimmter Coldcard-Modelle. Ein Fehler soll dazu geführt haben, dass die Erzeugung des Seeds nicht auf den sicheren Hardware-Zufallsgenerator zurückgriff, sondern auf einen schwächeren, softwarebasierten Generator.

Das klingt technisch, hat aber eine brutale Konsequenz. Der Wert eines Seeds hängt vollständig davon ab, dass er wirklich zufällig ist. Zufall ist hier das Schloss. Wenn der Zufall vorhersehbar wird, ist es, als hättest du deinen Haustresor mit einer Kombination gesichert, die ein Angreifer nachrechnen kann. Genau das geschah offenbar: Die erzeugten Seeds wurden rückblickend reproduzierbar. Wer die Schwäche kannte, konnte die passenden Schlüssel rekonstruieren, ohne je ein Gerät zu berühren.

Besonders unangenehm ist der zweite Teil dieser Lektion. Ein Firmware-Update repariert einen bereits kompromittierten Seed nicht. Die schwachen Wörter bleiben schwach. Betroffene mussten laut den Berichten eine komplett neue Wallet mit frisch erzeugtem Seed anlegen und ihre Bestände dorthin migrieren. Ein Update im Nachhinein ist wie ein neues Schloss an einer Tür, deren alten Schlüssel längst jemand kopiert hat.

Warum das kein Einzelfall-Zufall ist

Der Coldcard-Vorfall passt in ein Muster, das Fachberichte seit Jahren beschreiben. Große Krypto-Verluste entstehen selten durch geknackte Kryptografie oder durch Fehler in Smart Contracts, also in Programmen, die auf der Blockchain automatisch Verträge ausführen. Sie entstehen fast immer durch kompromittierte Schlüssel und operative Fehler: schlecht gesicherte Seeds, unsaubere Verwahrungsketten, Phishing, fehlerhafte Konfiguration.

Die Schweizer Aufsicht FINMA hat das im Januar 2026 in drei Risikofelder sortiert. Erstens operationelle Risiken: Cyberangriffe, unsaubere Sicherung der Private Keys, Abhängigkeit von einer Infrastruktur. Zweitens Gegenparteirisiken: Wenn ein Verwahrer pleitegeht, ist keineswegs sicher, dass deine Coins sauber von dessen Vermögen getrennt und aussonderbar sind. Drittens Rechtsrisiken bei Auslandsverwahrung, wo bei einer Insolvenz komplizierte Fragen über Zuständigkeit und Zugriff aufkommen.

Die FINMA sagt es ausdrücklich: Verwahrung auf der Blockchain ist operationellen Risiken wie Cyberangriffen und einer nicht ausreichend sorgfältigen Schlüsselsicherung ausgesetzt. Der Coldcard-Fall ist gewissermaßen der Lehrbuch-Beweis für Punkt eins.

Die deutsche Perspektive: Ein verlorener Schlüssel kommt nie zurück

Die deutsche Finanzaufsicht BaFin macht Verbrauchern 2026 einen Unterschied klar, der beim Online-Banking gern vergessen wird. Bei deiner eigenen Wallet sichert der Private Key den kompletten Zugang. Geht er verloren oder wird er gestohlen, droht der gesamte Guthabenverlust. Und anders als bei einem vergessenen Banking-Passwort gibt es keine Hotline, keinen Reset, keine Wiederherstellung. Der Schlüssel ist weg, das Geld ist weg.

Als zentrale Gefahren nennt die BaFin ausdrücklich Zugriffsverlust, Phishing und Hackerangriffe. Die Verbraucherzentrale ordnet Kryptowerte generell als hochspekulativ ein, mit Totalverlustrisiko, ohne Einlagensicherung und mit zusätzlichen Gefahren durch Hacking und Betrug. Das gilt für die Anlage selbst genauso wie für die Verwahrung.

Interessant ist, wie ähnlich die Behörden in Deutschland und der Schweiz die Schwachstellen benennen: Schlüsselverlust, Fehlkonfiguration, Auslagerung an Dritte und fehlender Insolvenzschutz. Nicht die Hardware ist das Problem, sondern die gesamte Kette drumherum.

Was eine Hardware-Wallet leistet und was nicht

Damit hier keine falsche Botschaft hängen bleibt: Eine Hardware-Wallet ist trotz allem eine der sinnvollsten Sicherheitsmaßnahmen für Selbstverwahrung. Sie reduziert das größte Alltagsrisiko drastisch, nämlich dass ein Schlüssel von einem dauerhaft online verbundenen Computer oder Handy abgegriffen wird. Wer nennenswerte Beträge auf einer Börse liegen lässt, trägt in der Regel deutlich mehr Gegenparteirisiko.

Aber das Gerät schützt eben nicht vor allem. Es schützt nicht vor fehlerhafter Seed-Erzeugung, wie der Coldcard-Fall zeigt. Es schützt nicht vor kompromittierter Firmware. Es schützt nicht vor dem Verlust deiner Recovery-Wörter, wenn du sie auf einen Zettel schreibst, der verbrennt, verblasst oder gefunden wird. Und es schützt nicht vor einer Lieferkette, in der ein Gerät schon vor dem Auspacken manipuliert wurde.

Eine Hardware-Wallet ist ein starkes Werkzeug. Sie ist keine Versicherung.

Praktische Lehren aus dem Vorfall

Aus der Recherche lassen sich einige nüchterne Konsequenzen ziehen, ohne dass daraus eine Handlungsanweisung wird.

Seed-Erzeugung ist der wunde Punkt. Der beste Tresor nützt nichts, wenn das Schloss schon beim Einbau geschwächt wurde. Wer selbst verwahrt, sollte verstehen, wie sein Gerät den Seed erzeugt und ob es dafür einen geprüften Hardware-Zufallsgenerator nutzt.

Ein Backup-Konzept ist Pflicht, kein Extra. Die Recovery-Wörter sind der eigentliche Wert. Wie sie gelagert werden, gegen Feuer, Diebstahl und Vergessen, entscheidet über alles.

Sicherheitsvorfälle können eine Migration erzwingen. Der Coldcard-Fall zeigt, dass ein Update manchmal nicht reicht. Manchmal muss man alles auf eine frisch erzeugte Wallet umziehen. Wer das nie geübt hat, gerät im Ernstfall unter Druck.

Verwahrmodell und Auslagerung bestimmen das Risikoprofil. Selbstverwahrung verlagert die Verantwortung vollständig zu dir. Drittverwahrung nimmt dir technische Fehler ab, bringt aber Gegenparteirisiko und Rechtsfragen mit, gerade bei Anbietern im Ausland.

Verteilen ist eine Möglichkeit, aber keine Zauberformel. Wer gar nicht selbst verwahren will, muss deshalb nicht alles bei einem einzigen Anbieter lassen. Denkbar wäre etwa, Bestände über mehrere Börsen zu streuen, teilweise sogar über verschiedene Länder und damit über verschiedene Aufsichtsregime. Das ist ausdrücklich als Beispiel gemeint und nicht als Empfehlung, denn jeder zusätzliche Anbieter bedeutet auch ein zusätzliches Konto, eine weitere Anmeldung und eine weitere Stelle, die ausfallen oder angegriffen werden kann. Bei ausländischen Verwahrern kommen genau die Rechtsfragen dazu, die die FINMA als drittes Risikofeld nennt. Streuung verteilt das Risiko, sie beseitigt es nicht.

Für Selbstverwahrung spricht die volle Kontrolle und der Wegfall des Börsen-Gegenparteirisikos. Dagegen spricht, dass jeder Fehler, ob technisch, organisatorisch oder menschlich, allein bei dir landet, ohne Sicherheitsnetz.

Faktenbox

  • Vorfall: Ende Juli 2026 ausgenutzte Schwachstelle bei Coldcard-Hardware-Wallets, laut Reuters und Fachmedien.
  • Schaden: Je nach Quelle und Auswertungsstand rund 1.082 bis 1.367 BTC. Reuters nannte etwa 86 Millionen US-Dollar, umgerechnet rund 75 Millionen Euro; spätere Berichte lagen darüber.
  • Ursache: Kein Blockchain-Fehler, sondern ein Firmware-Problem, das die Seed-Erzeugung auf einen schwächeren Generator zurückfallen ließ; Seeds wurden reproduzierbar.
  • Wichtig: Ein Firmware-Update repariert einen kompromittierten Seed nicht. Nötig ist eine neue Wallet und eine Migration.
  • Behörden: FINMA (01/2026) nennt operationelle, Gegenpartei- und Rechtsrisiken; BaFin (2026) warnt vor Zugriffsverlust, Phishing und Hacking sowie nicht wiederherstellbaren Schlüsseln; Verbraucherzentrale stuft Kryptowerte als hochspekulativ mit Totalverlustrisiko ein.

Dieser Beitrag ersetzt keine rechtliche oder steuerliche Prüfung und ist keine Empfehlung zum Kauf oder Verkauf von Kryptowerten.

Quellen & Transparenz

Belege (amtlich)

Hören | Sagen

finma.ch (2)
Weitere anzeigen (8)