Die Onchain-Aktivität von Bitcoin hat den höchsten Stand des Jahres 2026 erreicht, da Forscher den Anstieg mit dem laufenden Coldcard-Wallet-Exploit in Verbindung bringen und warnen, dass ähnliche Spitzen in der Vergangenheit mit lokalen Marktwendepunkten zusammenfielen.
Zusammenfassung
- Die Onchain-Aktivität von Bitcoin hat den höchsten Stand des Jahres 2026 erreicht, während sich der Coldcard-Wallet-Exploit weiter entfaltet.
- K33 erklärte, dass ähnliche Spitzen in der Bitcoin-Aktivität in der Vergangenheit um lokale Markthochs und -tiefs aufgetreten sind.
- Galaxy Research hat den Diebstahl von 1.596 BTC von etwa 7.300 Adressen bestätigt, wobei die Verluste möglicherweise auf rund 2.055 BTC steigen könnten.
- Der Coldcard-Vorfall hat einige Nutzer dazu veranlasst, Gelder an zentralisierte Börsen zu transferieren, und wirft neue Fragen zur Sicherheit von Hardware-Wallets auf.
K33 Research teilte mit, dass in den letzten sieben Tagen fast 890.000 BTC onchain bewegt wurden, das höchste aktive Angebot in sieben Tagen in diesem Jahr, obwohl Bitcoin weiterhin in einer seiner engsten Preisspannen der letzten Jahre gehandelt wird.
Die Forschungsnotiz erscheint, während die Ermittler den Umfang des Coldcard-Hardware-Wallet-Vorfalls weiter ausweiten. Galaxy Research erklärte am Dienstag, dass mindestens 15 verschiedene Angreifer die Schwachstelle nun ausgenutzt haben, während die neueste bestätigte Schätzung bei 1.596 BTC liegt, die von etwa 7.300 Adressen in drei bestätigten Angriffswellen gestohlen wurden. Das Unternehmen fügte hinzu, dass die Verluste rund 2.055 BTC oder etwa 130 Millionen US-Dollar erreichen könnten, wenn eine vierte vermutete Welle durch zusätzliche Opferberichte bestätigt wird.
Obwohl frühere Blockchain-Beobachtungen auf größere Verluste hindeuteten, erklärte Galaxy, dass es seine Schätzungen verfeinert habe, nachdem es bestätigte Opferberichte von vermuteter Onchain-Aktivität getrennt habe. Das Forschungsteam sagte auch, dass sich etwa 90 % des gestohlenen Bitcoins seit den Angriffen nicht bewegt haben, was den Ermittlern zusätzliche Zeit gibt, die Gelder zu überwachen, während sie mit Kryptowährungsbörsen, Blockchain-Sicherheitsfirmen und US-Strafverfolgungsbehörden zusammenarbeiten.
Coldcard-Exploit hat ungewöhnliche Bitcoin-Aktivität ausgelöst
Trotz relativ ruhiger Kursbewegungen sagte Vetle Lunde, Forschungsleiter bei K33, dass das Tempo der Bitcoin-Transfers stark zugenommen habe.
Laut dem Bericht hat Bitcoin seine engste 30-Tage-Hoch-Tief-Handelsspanne seit 2023 verzeichnet, während die realisierte Volatilität unter die des Nasdaq 100 gefallen ist. Dennoch stieg das aktive Angebot schnell an, da betroffene Nutzer nach dem Coldcard-Vorfall Münzen bewegten.
Lunde sagte, der Anstieg sei „sehr wahrscheinlich durch die Coldcard-Angriffe verursacht“ und fügte hinzu, dass der Vorfall „wahrscheinlich Bedenken hinsichtlich anderer Hardware-Wallets, einschließlich Ledger und Trezor, verstärkt hat, was einige Besitzer dazu veranlasst, zentralisierte Verwahrer oder Multisignatur-Setups in Betracht zu ziehen.“
Eine separate Berichterstattung von crypto.news wies ebenfalls auf verändertes Verwahrungsverhalten hin. Jonathan Brockmeier, Chief Compliance Officer bei OKX, sagte der Publikation, dass die Börse nach dem Coldcard-Vorfall Rekordzuflüsse verzeichnet habe, da einige Nutzer Vermögenswerte von Hardware-Wallets zu zentraler Verwahrung verlagerten.
„Wir sehen jetzt Rekordzuflüsse an zentralisierte Börsen nach Coldcard“, sagte Brockmeier. „Es ist interessant – es ist sozusagen die Kehrseite von FTX. FTX passiert, und alle bewegen ihr Geld in Selbstverwahrung, und jetzt kommt es zurück.“
Er sagte, dass Börsen dedizierte Sicherheitsteams und automatisierte Überwachungssysteme für Nutzer bereitstellen können, die verwaltete Verwahrung bevorzugen, während Selbstverwahrung eine Option für Kunden bleibt, die bereit sind, ihre eigene Sicherheit zu verwalten.
Bitcoin-Aktivität hat zuvor Wendepunkte begleitet
Über den unmittelbaren Exploit hinaus sagte K33, dass ähnliche Ausbrüche von Onchain-Aktivität wiederholt um größere Marktumkehrungen aufgetreten seien.
Der Bericht ergab, dass Zeiträume, in denen das aktive Angebot in sieben Tagen in die oberen 10 % der Beobachtungen im Vergleich zur rollierenden 365-Tage-Historie fiel, mit lokalen Hochs und Tiefs während des Bärenmarktes 2022, der Bullenmärkte 2024 und 2025 sowie des Bärenmarktes 2026 übereinstimmten.
„Die Intuition hinter dieser Beobachtung ist klar: Panik ist onchain sichtbar“, schrieb Lunde.
Er erklärte, dass fallende Märkte die Inhaber oft dazu drängen, Coins auf Börsen zu verschieben, um zusätzliche Verluste zu begrenzen, während steigende Preise sowohl Gewinnmitnahmen als auch Käufe fördern, die durch die Angst, etwas zu verpassen, angetrieben werden. Der Bericht stellte außerdem fest, dass zwei der größten aktiven Angebotsspitzen in diesem Jahr während der Verkaufswellen im Februar und Juni auftraten, während ein separater Anstieg Ende April eher mit routinemäßigen Adressrotationen als mit Börsenübertragungen zusammenhing.
K33 argumentierte nicht, dass erhöhte Aktivität allein die zukünftige Preisrichtung vorhersagt, sagte jedoch, dass die historische Beziehung das aktuelle Onchain-Verhalten als beobachtenswert macht, während die Coldcard-Untersuchung fortgesetzt wird.
Coldcard-Schwachstelle hat Seed-Generierungsschwäche offengelegt
Der Angriff ging von einer Schwachstelle in der Coldcard-Firmware aus, die Coinkite offenlegte, nachdem festgestellt wurde, dass betroffene Geräte Wallet-Seeds mit einem deterministischen Pseudozufallszahlengenerator erzeugten, anstatt des vorgesehenen hardwaregestützten echten Zufallszahlengenerators.
Laut Coinkites technischer Überprüfung wurde die Schwachstelle im März 2021 eingeführt, als Ingenieure eine neue Kryptographie-Bibliothek in die Wallet-Firmware integrierten. Obwohl der Hardware-Zufallszahlengenerator an anderer Stelle in der Software weiterhin funktionierte, verließ sich die Wallet-Erstellung fälschlicherweise auf MicroPythons deterministischen Generator, wodurch die Entropie reduziert wurde, die zur Erstellung neuer Seed-Phrasen verwendet wurde.
Das Bitcoin-Engineering- und Sicherheitsteam von Block gelangte nach der Überprüfung der Firmware unabhängig zu demselben Schluss. Das Unternehmen sagte, dass betroffene Geräte während der Wallet-Erstellung den deterministischen MicroPython-Fallback anstelle des STM32-Hardware-Zufallszahlengenerators aufriefen, merkte jedoch an, dass es die Tests über alle betroffenen Modelle hinweg nicht abgeschlossen hatte, bevor es seine Ergebnisse veröffentlichte, da aktive Diebstähle bereits im Gange waren.
Coinkite schätzt, dass betroffene Mk2- und Mk3-Wallets möglicherweise etwa 40 Bit effektive Entropie bieten, während anfällige Mk4-, Mk5- und Coldcard-Q-Geräte möglicherweise etwa 72 Bit erzeugen, weit unter dem beabsichtigten Sicherheitsniveau von 128 Bit.
Notfall-Firmware-Updates sind jetzt für alle betroffenen Produktlinien verfügbar. Coinkite sagte jedoch, dass die Installation der aktualisierten Firmware nur Wallets schützt, die nach dem Fix erstellt wurden. Besitzer, deren Seed-Phrasen mit anfälliger Firmware generiert wurden, wurden angewiesen, völlig neue Wallets zu erstellen, die Zieladresse mit einer kleinen Testtransaktion zu verifizieren und ihr Bitcoin erst nach Bestätigung der Übertragung zu verschieben.
Die Prüfung der Branche hat sich über Coldcard hinaus ausgeweitet
Der Vorfall hat auch erneute Diskussionen darüber ausgelöst, wie Hardware-Wallet-Firmware vor der Veröffentlichung verifiziert werden sollte.
In einem Beitrag auf X argumentierte Nick Percoco, Chief Security Officer von Kraken, dass Hersteller nicht allein dafür verantwortlich sein sollten, zu validieren, wie Produktionsfirmware Wallet-Seed-Phrasen generiert. Er verwies auf NIST SP 800-90B und die deutschen BSI-AIS-31-Standards und sagte, dass eine vergleichbare End-to-End-Verifizierung nicht routinemäßig auf Hardware-Wallet-Firmware angewendet wird, trotz der Bedeutung einer sicheren Seed-Generierung.
Ripple-CTO Emeritus David Schwartz kommentierte den Vorfall ebenfalls und beschrieb ihn als Beispiel für ein Ausreißerrisiko, bei dem ein ungewöhnlicher technischer Fehler Verluste verursachen kann, die weit über die Erwartungen der Benutzer hinausgehen. Schwartz verglich den Verstoß mit dem Zusammenbruch von MF Global im Jahr 2011 und argumentierte, dass Selbstverwahrung zwar die Abhängigkeit von Finanzintermediären beseitigt, Benutzer jedoch weiterhin von der korrekten Funktion von Hardware und Firmware abhängig sind.
Er stellte außerdem fest, dass betroffene Coldcard-Besitzer im Gegensatz zu Kunden regulierter Finanzinstitute derzeit keinen vergleichbaren Wiederherstellungsmechanismus haben, nachdem Gelder durch kompromittierte Wallet-Seeds gestohlen wurden.
