Kann eine Hardware Wallet gehackt werden? Ja. Jonathan Goodman, Vater von 3 Kindern, glaubte, seine Bitcoin sicher verwahrt zu haben. Er hatte sogar alles richtig gemacht.
"Meine Bitcoin lagen im Cold Storage. Die Schlüssel befanden sich auf einer Coldcard, die in einem Bankschließfach lag und nie mit dem Internet verbunden war.“
Quelle: X
Und trotzdem verlort er am 29. Juli 2026 innerhalb weniger Minuten 18,25 Bitcoin im Wert von 1,6 Millionen Dollar.
Wie kann jemand ein komplett offline verwahrtes Wallet leerräumen, ohne das Gerät überhaupt zu besitzen?
Warum ein Hardware Wallet gehackt werden kann
Das Verrückte ist, dass Hardware Wallets allgemein als eine der „sichersten“ Methoden gelten, seine Kryptowährungen aufzubewahren.
"Ich war in unserem Ferienhaus und habe ... vom Hack erfahren.
‚So etwas kann mich unmöglich betreffen‘, dachte ich.
Ich habe mich bei Wasabi angemeldet – einer Software, mit der ich meine Bitcoin-Wallets online einsehen kann. Sofort sah ich Zeilen roter Transaktionen – Auszahlungen – und wusste Bescheid. Von 21:36 Uhr bis 21:43 Uhr ... war jedes Wallet, das ich besaß, geleert worden. 18,25 ... BTC weg. Das sind etwas über 1,6 Millionen kanadische Dollar.“Quelle: X
Bevor wir den Fall aufrollen:
Warum halten wir Hardware Wallets für sicher?
Eben weil die privaten Schlüssel auf dem physischen Gerät bleiben und nicht auf einem mit dem Internet verbundenen Computer gespeichert werden. Daher spricht man auch von „Cold Wallets“ – im Gegensatz zu Software Wallets wie MetaMask.
Selbst wenn dein Computer sich einen bösartigen Virus eingefangen hat, kommt dieser normalerweise nicht an deine privaten Schlüssel, weil sie das Hardware Wallet nicht verlassen.
Der Coldcard-Vorfall 2026
Auch Jonathan hatte seine privaten Schlüssel niemandem gegeben und trotzdem wurden seine Coins gestohlen.
Bei seinem Gerät handelte es sich um ein Coldcard-Wallet des kanadischen Herstellers Coinkite. Das Unternehmen ist seit 2012 aktiv und auf Bitcoin-Sicherheitslösungen spezialisiert.
„The best #bitcoin hardware wallet. Ultra-secure. The only dedicated air-gapped.“
So beschreibt Coinkite Coldcard selbst in seiner Profilbeschreibung auf X.
„Ein Teil von mir versucht, das, was gerade passiert ist, zu verstehen.“
Passiert ist bei dem Colcard Hack 2026 Folgendes:
Die Hacker fanden eine Schwachstelle in einem Codepfad, der bereits seit 2021 vorhanden war. Durch eine fehlerhafte Abfrage griff die Firmware bei der Erzeugung bestimmter Seeds nicht wie vorgesehen auf den Hardware-Zufallszahlengenerator zurück.
Die bekannte Seed Phrase oder Wiederherstellungsphrase stellt vereinfacht gesagt die lesbare Form dieses Ausgangswerts dar – meistens in Form von 12 oder 24 Wörtern. Aus ihr lassen sich die privaten Schlüssel ableiten, mit denen wir später Transaktionen signieren.
Eine Hardware-Wallet erzeugt dafür normalerweise eine sehr große Zufallszahl.
Bei 128 Bit Entropie – also vereinfacht gesagt 128 Bit an Unvorhersehbarkeit – gäbe es ungefähr:
2¹²⁸ mögliche Seeds
Das ist ein so großer Raum, dass ein systematisches Durchprobieren praktisch ausgeschlossen ist. Normalerweise reden wir bei einem Hardware-Wallet von 128 bis 256 Bit echter Zufälligkeit.🎲
Doch bei bestimmten Coldcard-Firmware-Versionen funktionierte genau dieser Schritt nicht wie vorgesehen. Die Software griff nicht auf den vorgesehenen Hardware-Zufallszahlengenerator zu, sondern verwendete teilweise einen deterministischen Softwaregenerator, dessen Ausgang unter anderem von Geräte- und Zeitwerten abhing.
Je nach Modell schrumpfte der effektive Suchraum dadurch drastisch.
Bei unter 32 Bit Entropie gibt es 2³² = 4.294.967.296 = weniger als 4,3 Milliarden mögliche Zufallszustände.
Das klingt viel, ist für Computer aber ein winziger Suchraum.
Aus „praktisch unmöglich“ wurde damit „potenziell machbar“ und so musste der Angreifer die möglichen Seeds auf eigener Hardware nur noch (u.a. mit KI) systematisch durchprobieren 🔄
Das Gerät musste er dafür weder stehlen noch aus der Ferne übernehmen. Fand er den passenden privaten Schlüssel, konnte er gültige Bitcoin-Transaktionen signieren, ohne die ursprüngliche Coldcard jemals zu berühren.
Galaxy Research identifizierte Stand drei Angriffswellen und schätzte zuletzt, dass dabei über 8.000 Bitcoin-Adressen geleert und 1.700 Bitcoin abgezogen, in Summe werden die Verluste wahrscheinlich 130 Millionen Dollar übersteigen.
Wie viele Menschen sich hinter diesen Adressen und verlorenen Geldern verbergen, können wir allerdings nicht genau sagen. Ein einzelner Nutzer kann schließlich viele verschiedene Bitcoin-Adressen verwenden.
Coinkite forderte betroffene Nutzer deshalb auf, die korrigierte Firmware zu installieren, eine vollständig neue Seed Phrase zu erzeugen und ihre Bitcoin auf das neue Wallet zu übertragen.
In diesem konkreten Fall konnte ein Hardware-Wallet also kompromittiert werden, weil die Firmware bei der Seed-Erzeugung den falschen Zufallszahlengenerator verwendete und dadurch die Schlüssel berechenbarer machte.
Welche Schwachstellen können Hardware-Wallets grundsätzlich haben?
Ledger und Tangem sind nach heutigem Stand von dieser konkreten Coldcard-Schwachstelle nicht betroffen.
Bei Ledger liegt – so wie ich das als Laie beurteilen kann – zum Beispiel die Zufallsquelle direkt im Secure Element des Chips und wird nach strengen Standards zertifiziert, um die vollen 256 Bit Entropie zu erreichen.
Bei Tangem gibt es diese „aufschreibbare Zwischenstufe“ als sichtbares Backup gar nicht zwangsläufig. Im seedlosen Modus wird der private Key direkt im Chip per Hardware-Zufallszahlengenerator erzeugt und dort gespeichert.
Optional kannst du bei Tangem auch eine klassische Seed Phrase mit 12 oder 24 Wörtern nutzen. Die App erzeugt daraus die privaten Schlüssel, die anschließend auf der Karte gespeichert werden.
Und dennoch ist auch ein Ledger-Gerät oder eine Tangem-Karte nicht „unantastbar“ und kann an anderer Stelle mit Sicherheitsrisiken zu kämpfen haben.
Hinter dem Wort „Hack“ kann ganz Unterschiedliches stecken.
Es gibt zum Beispiel Hacker, die ein Gerät physisch manipulieren. Abgesehen von den unzähligen fiesen Betrugsmaschen, bei denen Betrüger dich dazu bringen, deine Seed Phrase selbst preiszugeben.
Schaut euch dazu unbedingt mein Video zu Krypto-Scams auf YouTube an! ❗
Ich war letztes Jahr bei Ledger in Paris und habe mir deren eigenes Sicherheitslabor angeschaut. Sie nennen es den Ledger Donjon.
Dort testen Forscher und White-Hat-Hacker die eigenen Ledger-Produkte, aber auch Geräte anderer Hersteller wie Trezor auf mögliche Schwachstellen. Es gibt sogar eine Hall of Fame, in der externe Sicherheitsforscher gewürdigt werden, die Fehler in Ledger-Produkten gefunden und gemeldet haben.
Im Juli demonstrierte das Donjon bei einem gezielten Angriff auf Tangem eine mögliche Schwachstelle.
Mit einem gezielten Laserpuls gelang es den Forschern, eine Sicherheitsprüfung im Chip zu stören, das Zugangspasswort zurückzusetzen und anschließend Transaktionen zu signieren.
Um diesen Angriff außerhalb des Labors nachzumachen, müsste der Täter die echte Karte in die Hände bekommen, sie physisch präparieren und spezielle Labor-Ausrüstung einsetzen.
Ledger Donjon beziffert den eigenen Versuchsaufbau auf rund 250.000 US-Dollar und nennt ein sehr umfangreiches Fachwissen als Voraussetzung.
Oder anders gesagt:
Das konkrete Risiko dieses Angriffs besteht vor allem dann, wenn du deine Tangem-Karte verlierst oder sie gestohlen wird. Solange die Karte in deinem Besitz bleibt, kann dieser Angriff nicht durchgeführt werden.
Tangem bestreitet die technische Demonstration nicht, hält einen praktischen Masseneinsatz aber aus diesem Grund für äußerst unwahrscheinlich.
Und dennoch zeigt der Fall, dass selbst ausgefeilte Sicherheitschips unter extremen Laborbedingungen angegriffen werden können.
Was kannst du als Anleger tun, um deine Kryptowährungen sicher zu verwahren?
Eine Hardware-Wallet bleibt eine starke Sicherheitsbarriere, wenn sie korrekt eingesetzt wird. Das Beste, was du als Nutzer tun kannst, ist, bereits beim Kauf auf die Sicherheit zu achten. Dazu merke dir bitte folgende fünf Tipps:
1. Kaufe Geräte nur beim Hersteller oder bei autorisierten Händlern.
Prüfe vor der Einrichtung, ob die Verpackung und das Gerät unauffällig sind. Nutze ausschließlich die offiziellen Webseiten und Apps der Hersteller und halte die Firmware deines Geräts aktuell.
2. Nimm Sicherheitsmeldungen wie im Coldcard-Fall ernst.
Prüfe, ob dein Modell und deine Firmware konkret betroffen sind und was der Hersteller empfiehlt. Manchmal reicht ein Firmware-Update. Bei Coldcard mussten betroffene Nutzer dagegen zusätzlich eine komplett neue Wiederherstellungsphrase erzeugen und ihre Bitcoin auf das neue Wallet übertragen.
Und jetzt eine Basic-Regel, die wir als Nutzer trotzdem immer wieder versemmeln: Wenn ihr meinem Kanal schon länger folgt oder vielleicht mein Buch Der Krypto Kompass gelesen habt:
3. Teile deine 12 oder 24 Wörter mit NIEMANDEM und speichere sie NICHT online in einer Cloud.
Schick sie dir auch nicht per WhatsApp oder E-Mail.
Die Seed Phrase muss offline bleiben, sonst kann eine Hardware-Wallet ihren Zweck nicht erfüllen. Schreib sie zum Beispiel auf eine Recovery-Karte oder an einen anderen sicheren Ort, an dem du nicht Gefahr läufst, deinen Kaffee darüber zu verschütten. Verwahre deine Backups am besten an mindestens zwei verschiedenen Orten.
4. Bei sehr großen Beständen kann ein Multisig-Aufbau eine weitere Sicherheitsebene schaffen.
Dabei sind mehrere unabhängige Schlüssel erforderlich, um Bitcoin auszugeben. Das streut das technische Risiko eines einzelnen fehlerhaften Seeds oder kompromittierten Geräts, erhöht aber auch die Komplexität bei Backup und Wiederherstellung. Ich persönlich nutze kein Multisig und würde so ein Setup einem Einsteiger mit kleinen Beträgen auch nicht empfehlen. Man muss verstehen und testen, wie es funktioniert.
Was ich persönlich mit Ledger und Tangem mache und bei größeren Beständen ebenfalls sinnvoll finde:
5. Nutze mehrere Wallets verschiedener Hersteller und verteile deine Bestände darauf.
Zum Beispiel zwei oder drei Wallets von unterschiedlichen Anbietern. Zu Tangem und Ledger findest du auf meinem Kanal jeweils ein eigenes Tutorial.
Wenn du wissen willst, welches Wallet am besten zu dir passt, schau dir gerne noch einmal die Wallet-Übersicht auf meiner MissCrypto-Webseite an.
Hier geht´s zum Wallet-Vergleich 🔐
Fazit: 100 % Sicherheit gibt es nicht
Ja, eine Hardware Wallet kann gehackt werden und das auf ganz unterschiedliche Weise.
Der Coldcard-Fall zeigt sogar, dass dafür nicht immer das physische Gerät angegriffen werden muss und dass sowas passiert, selbst wenn Menschen wie Jonathan alles richtig gemacht haben!
100 % Sicherheit gibt es nicht!
Und selbst die sichersten Banken können ausgeraubt werden. Dazu fällt mir nur der spektakuläre Bankeinbruch in Gelsenkirchen 2025 ein!
Eine Hardware-Wallet verschiebt einen großen Teil des Risikos weg vom ständig verbundenen Computer hin zu einem speziell dafür gebauten Sicherheitsgerät.
Als Anleger müssen wir die Verantwortung dafür übernehmen, wie wir mit unserem Seed umgehen. Die Anbieter wiederum müssen alles dafür tun, dass dieser Schutz durch Hardware, Firmware und eine sichere Seed-Erzeugung möglichst zuverlässig funktioniert.
Nur so kommen wir möglichst nah an 100 % Sicherheit heran.
Passt gut auf eure Coins auf! 🍀
Wenn du noch mal den Unterschied der einzelnen Wallet-Arten wissen willst, dann schau dir das Video Crypto Wallets Einfach Erklärt auf meinem Youtube Kanal an. Abonnier mich, um wöchentlich neue Videos zu erhalten.
