Kurz zusammengefasst
- Trezor und Foundation meldeten beide einen Anstieg von Phishing-Versuchen, die auf Besitzer von Hardware-Wallets abzielen, nach dem Coldcard-Exploit.
- Proofpoint identifizierte eine Phishing-Kampagne, die auf Coldcard-Inhaber abzielt, mit einer geklonten Website und einem "Hardware-Audit", das Fernzugriffssoftware installiert.
- Eine Person, nicht ein Bot, betreut den Kundenservice-Chat der gefälschten Website und führt die Opfer durch die Installation.
Die Hardware-Wallet-Hersteller Trezor und Foundation haben vor einer Welle von Phishing-Versuchen gewarnt, die auf dem Coldcard-Firmware-Exploit basieren, wobei Betrüger die Wiederherstellungsphrasen der Nutzer verfolgen und schädliche Downloads bewerben.
Trezor sagte, dass es bereits einen Anstieg von Phishing-Versuchen nach der Offenlegung sehe, und wies die Nutzer an, ein Wallet-Backup nur auf dem Gerät selbst einzugeben, und betonte erneut, dass die eigene Hardware nicht betroffen sei. Foundation sagte, dass man von E-Mails erfahren habe, die das Unternehmen imitieren und die Empfänger zu gefälschten Websites und schädlichen Downloads führen, und fügte hinzu, dass man niemals nach einer Wiederherstellungsphrase fragen oder Nutzer anweisen werde, Software zur Sicherung eines Wallets zu installieren.
Die Sicherheitsfirma Proofpoint dokumentierte am Montag eine Phishing-Kampagne, die auf Coldcard-Nutzer abzielt. E-Mails, die von einer gefälschten Coldcard-Adresse gesendet werden, laden die Empfänger ein, an einem "koordinierten Hardware-Audit" teilzunehmen, ein Thema, das aus dem Sicherheitsvorfall selbst stammt, und verlinken auf eine geklonte Coldcard-Website mit einem "Start Hardware Audit"-Button.
Eine COLDCARD-Hardware-Wallet-Schwachstelle wird von Bedrohungsakteuren ausgenutzt.
Der gemeldete Firmware-Fehler hat zum Diebstahl von Bitcoin im Wert von zig Millionen geführt.
Wir haben Social Engineering mit "Hardware-Audit"-Themen beobachtet, die #COLDCARD in E-Mail-basierten Phishing-Kampagnen imitieren. pic.twitter.com/1KSfZW3H2N
— Threat Insight (@threatinsight) 3. August 2026
Ein Klick darauf lädt eine Batch-Datei herunter, die auf GitHub gehostet wird und ScreenConnect installiert, ein legitimes Fernzugriffs-Tool. Proofpoint sagte, dass dies Angreifern einen Weg zu Daten- und Finanzdiebstahl oder zu Folge-Malware wie Ransomware bietet.
Die gefälschte Website betreibt auch ein Kundenservice-Chatfenster. Proofpoint sagte, dass eine echte Person, kein Bot, darauf antwortet und die Opfer durch die Installation führt, und bewertet den Einbruch als effektiven Social-Engineering-Köder, weil er "die Angst und Sorge" ausnutzt, die Inhaber jetzt bezüglich ihrer Krypto-Sicherheit haben.
Der Exploit hinter dem Köder
Der Coldcard-Exploit stammt aus einem Firmware-Build vom März 2021, der Wallet-Seeds aus einem Software-Fallback statt aus dem Hardware-Zufallszahlengenerator des Geräts zog, wodurch private Schlüssel erratbar wurden.
Galaxy Research hat seit dem 30. Juli drei Wellen von Diebstählen bestätigt und beziffert die Verluste mit hoher Sicherheit auf 1.596 BTC, über 100 Millionen Dollar. Einschließlich einer vierten Welle, die sie vermutet, aber nicht mit Opfern bestätigt hat, könnte die Gesamtsumme 130 Millionen Dollar erreichen.
Der Forschungsleiter des Unternehmens, Alex Thorn, sagte am Dienstag, dass mindestens 15 verschiedene Angreifer den Fehler jetzt ausnutzen, und merkte an, dass jede Welle außer der ersten durch Opferberichte identifiziert wurde. Der Coldcard-Hersteller Coinkite hat gepatchte Firmware herausgegeben und betroffene Benutzer angewiesen, Gelder auf neu generierte Seeds zu übertragen.
Ein bekanntes Muster
Phishing-Kampagnen haben eine Reihe von Methoden eingesetzt, um Hardware-Wallet-Besitzer ins Visier zu nehmen. Im Februar wurden Trezor- und Ledger-Benutzer von einer Briefkampagne getroffen, die die Firmen nachahmte, komplett mit Hologrammen und gefälschten Unterschriften der Geschäftsführung, aufgebaut um dieselbe künstliche Frist. Eine gefälschte Ledger-App zog im April Millionen von Inhabern ab, und eine Kampagne im März nutzte gefälschte GitHub-Issues, um Entwickler auf eine gefälschte Website zu locken.
Galaxy Research sagte, der Coldcard-Exploit sei noch aktiv, und forderte Inhaber auf, Gelder auf einen neuen Seed oder zu einem Verwahrer zu übertragen – was dem Phishing-Köder eine lange potenzielle Haltbarkeit verleiht.
