Seed mit 40 Bit: warum 4.585 Adressen angreifbar wurden

Schwache Zufallszahlen bei der lokalen Schlüsselerzeugung haben zu massiven Abflüssen von Bitcoin-Beständen geführt. Security- und Wallet-Verantwortliche prüfen Firmware-Historie und Seed-Entstehung, bevor Bestände verschoben werden.

Das Wichtigste in Kürze

• Bei mehreren Coldcard-Generationen lieferte der Software-PRNG zu wenig Entropie bei der Seed-Erzeugung (Coinkite Advisory, 30.07.2026, Update 01.08.2026).
• Galaxy Research schätzt kumulierte Abflüsse auf 1.367,05 BTC aus 4.585 Adressen, rund 74,5 Millionen Euro (Stand 01.08.2026).
• Maßgeblich ist die Firmware bei der Seed-Erzeugung, nicht die aktuell installierte Version (Coinkite, 01.08.2026).
• Das Firmware-Update repariert keinen alten Seed. Ein neuer Seed auf gepatchter Firmware ist erforderlich.
• Kein Bitcoin-Protokoll-Hack: SHA-256, ECDSA, BIP39 und der Konsens sind ungebrochen.

Was am Wochenende ablief

Am 30. Juli 2026 startete eine on-chain-sichtbare Abflusswelle. On-chain meint Transaktionen, die öffentlich in der Bitcoin-Blockchain stehen.

Galaxy Research ordnete die erste Welle 1.082,65 BTC aus 1.196 Adressen zu. Die Bewegung lief in rund 41 Minuten ab (Schätzung Galaxy Research, Stand 01.08.2026).

Coinkite veröffentlichte am 30. Juli 2026 ein Advisory zu Coldcard-Firmware. Ein Update folgte am 1. August 2026.

Betroffen sind laut Hersteller mehrere Modelllinien und Firmware-Pfade. Nicht betroffen sind Mk1 sowie TAPSIGNER, OPENDIME und SATSCARD.

Der Abfluss lief laut Galaxy Research am 2. August 2026 weiter. Die Summen können steigen und sind keine gerichtsfeste Bilanz.

Entropie bei der Schlüsselerzeugung

Entropie beschreibt, wie unvorhersehbar die Zufallszahlen sind. Aus ihnen entsteht der kryptografische Schlüssel.

Mehr Bit vergrößern den Schlüsselraum. Zu wenig Entropie macht den Schlüsselraum erratbar, obwohl das Ergebnis normal aussieht.

Bei BIP39 werden Zufallsbits in eine Merkwort-Liste umgewandelt. Typisch sind 12 Wörter für 128 Bit plus Prüfsumme.

Aus der Wortliste entsteht per PBKDF2 der Master-Seed. Der Seed ist das geheime Wurzelmaterial des Wallets, also der digitalen Geldbörse.

Über BIP32 leitet die Software daraus alle privaten Schlüssel ab. Wer die Wörter besitzt, kontrolliert das gesamte Wallet.

Ein PRNG erzeugt eine deterministische Zahlenfolge aus einem Startwert. Für kryptografische Schlüssel ist er ungeeignet.

Ein CSPRNG bleibt ohne Kenntnis des internen Zustands praktisch unvorhersagbar. Ein Hardware-TRNG nutzt physisches Rauschen, etwa die RNG-Peripherie eines STM32.

Bei nur rund 40 Bit Entropie bleiben etwa 2 hoch 40 Kandidaten statt 2 hoch 128. Offline lassen sich Seeds erzeugen und Adressen ableiten.

Diese Adressen werden gegen die öffentliche Blockchain abgeglichen. Physischer Gerätezugriff ist dafür nicht nötig.

Kernmechanik

Zu wenig Entropie bei der Seed-Erzeugung verkleinert den Schlüsselraum. Das Ergebnis sieht gültig aus und bleibt trotzdem erratbar.
Redaktionelle Einordnung nach Coinkite Advisory vom 30.07.2026

Wo die Firmware den Zufall verlor

Im März 2021 migrierte der Seed-Pfad auf die Bibliothek libngu. Statt des Hardware-TRNG des STM32 kam der Software-PRNG Yasmarang aus MicroPython zum Einsatz.

Auslöser war die Build-Einstellung MICROPY_HW_ENABLE_RNG gleich 0. Die Guard-Prüfung mit ifndef schlug nicht an.

Das Makro war definiert, aber nicht aktiv. Die Fallback-Logik griff deshalb auf den Software-Generator zu.

Laut Coinkite lag die effektive Entropie bei rund 40 Bit für Mk2 und Mk3. Für Mk4, Mk5 und Q nennt der Hersteller rund 72 Bit statt 128 Bit.

Ein publizierter Brute-Force-Benchmark liegt nicht vor. Die Bit-Angaben bleiben daher als Unsicherheit zu lesen.

Betroffen laut Coinkite: Mk2 und Mk3 von 4.0.1 bis 4.1.9, Fix in 4.2.0. Mk4 und Mk5 vor 5.6.0, Edge vor 6.6.0X, Q vor 1.5.0Q, Q Edge vor 6.6.0QX.

Standard- und Edge-Track dürfen nicht vermischt werden. Mk1, TAPSIGNER, OPENDIME und SATSCARD sind nicht betroffen.

Eine Diskrepanz bleibt offen: Coinkite setzt den Start für Mk2 und Mk3 bei 4.0.1 an. Block Engineering nennt 4.0.0 mit Release am 17.03.2021.

Die Differenz ist ungeklärt. Eine Reduktion auf eine einzige Startversion ist nicht belastbar.

Kein Angriff auf das Bitcoin-Protokoll

Es handelt sich um einen Firmware-Integrationsfehler eines einzelnen Herstellers. Betroffen ist die lokale Seed-Erzeugung auf dem Gerät.

SHA-256, ECDSA, BIP39 und der Bitcoin-Konsens sind nicht gebrochen. Kompromittiert wurden Schlüssel mit zu wenig Entropie.

Auf X kursierten Darstellungen wie „Bitcoin gehackt“ oder „alle Hardware-Wallets unsicher“. Beide Aussagen treffen den Sachverhalt nicht.

BitBox bestätigt für BitBox02 und BitBox02 Nova ausdrücklich die Nicht-Betroffenheit. Ausnahme: ein auf betroffener Coldcard erzeugter Seed, der später importiert wurde.

Export oder Import auf ein anderes Gerät überträgt die Schwäche. Die Ursache sitzt im Seed-Material, nicht im Zielgerät.

Was betroffene Teams jetzt tun

Maßgeblich ist die Firmware zum Zeitpunkt der Seed-Erzeugung. Die aktuell installierte Version allein entscheidet nicht über die Gefährdung.

Ausnahme laut Coinkite: mindestens 50 faire, unabhängige und private Würfelwürfe bei der Erstellung. Dann gilt der Seed als nicht gefährdet.

Eine starke, einzigartige BIP39-Passphrase schützt das Passphrase-Wallet. Den schwachen Seed repariert sie nicht.

Überstürzte Migration ist riskanter als der Bug selbst. Coinkite empfiehlt zuerst Ruhe und eine saubere Betroffenheitsprüfung.

IT-Teams prüfen die Firmware-Historie der Seed-Erzeugung. Anschließend wird die Firmware aktualisiert.

Auf gepatchter Firmware entsteht ein neuer Seed. Backup, Fingerprint und Empfangsadresse werden verifiziert.

Eine Testtransaktion bestätigt den Pfad. Danach folgt der Sweep, also das gezielte Umziehen des Restbestands auf den neuen Seed.

Das alte Backup wird zuletzt gelöscht. Vorher bleibt ein kontrollierter Rückfallweg erhalten.

• Ruhe bewahren und überstürzte Migration vermeiden.
• Betroffenheit über Firmware bei Seed-Erzeugung prüfen, Würfelwurf-Ausnahme beachten.
• Firmware aktualisieren, danach neuen Seed auf gepatchter Firmware erzeugen.
• Backup, Fingerprint und Empfangsadresse verifizieren, Testtransaktion ausführen, Restbestand umziehen.
• Altes Backup erst nach erfolgreichem Umzug löschen.

Drei Fälle mit derselben Fehlerklasse

2013 zeigte Android SecureRandom wiederholte ECDSA-Nonces. Private Schlüssel ließen sich aus On-Chain-Signaturen ableiten.

Bitcoin.org meldete am 11. August 2013 eine Diebstahl-Adresse mit rund 55,8 BTC. Die Ursache lag in schwachem Zufall, nicht im Protokollkern.

2022 und 2023 betraf CVE-2023-31290 die Trust Wallet Browser Extension. Schwache Entropie entstand über einen Mersenne-Twister.

Angriffe liefen ab Dezember 2022. Alle damit erzeugten Wallets galten als stehlbar.

2023 zeigte Libbitcoin Explorer mit dem Befehl bx seed den Fall „Milk Sad“ (CVE-2023-39910). MT19937 lieferte rund 32 Bit Entropie.

Am 12. Juli 2023 folgte ein Massen-Diebstahl. milksad.info bestätigte Verluste im hohen sechsstelligen Bereich.

Die Parallelfälle teilen das Muster: gültig wirkende Schlüssel, zu kleiner Schlüsselraum, On-Chain-Abgleich ohne Gerätezugriff. Der Coldcard-Vorfall reiht sich in diese Klasse ein.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Ist ein Gerät nach dem Firmware-Update noch betroffen?

Maßgeblich ist die Firmware bei der Seed-Erzeugung, nicht die aktuell installierte Version. Das Update stoppt neue schwache Seeds, repariert aber keinen alten Seed. Ein neuer Seed auf gepatchter Firmware ist erforderlich (Coinkite, Update 01.08.2026).

Hilft eine BIP39-Passphrase gegen den Fehler?

Eine starke, einzigartige Passphrase schützt das Passphrase-Wallet. Den schwachen Seed selbst repariert sie nicht. Export oder Import überträgt die Schwäche weiterhin mit.

Sind andere Hardware-Wallets ebenfalls betroffen?

Der dokumentierte Fehler betrifft Coldcard-Firmware-Pfade von Coinkite. BitBox bestätigt für BitBox02 und BitBox02 Nova ausdrücklich die Nicht-Betroffenheit. Ausnahme bleibt ein importierter Seed, der auf betroffener Coldcard-Firmware entstand.

Ist Bitcoin selbst unsicher?

Nein. Es liegt ein Firmware-Integrationsfehler bei der lokalen Seed-Erzeugung vor. SHA-256, ECDSA, BIP39 und der Bitcoin-Konsens sind nicht gebrochen. Kompromittiert wurden Schlüssel mit zu wenig Entropie.

Lesetipps der Redaktion

LesetippEin npm-Paket, das die privaten Schlüssel stahlLesetippWas ist Post-Quantum-Kryptografie? Definition und StandardsLesetippBitLocker-Bypass bei physischem Zugriff

Bildquelle: KI-generiert (August 2026), C2PA-Zertifikat im Bild hinterlegt