Seit Jahresbeginn 2026 haben sechs Anbieter von Hardware-Wallets Sicherheitsprobleme offengelegt. Bestätigte Verluste von Krypto-Assets betreffen Coldcard und einen Vertriebspartner von Ledger. Im jüngsten Fall sollen Geräte vor der Auslieferung manipuliert worden sein. Berichten zufolge könnten betroffene Ledger-Geräte auch außerhalb Südostasiens auf den Markt gelangt sein. Wie viele Geräte und Nutzer betroffen sind, ist bislang unklar. Für Anleger, die ihre Vermögenswerte offline verwahren, geht es damit nicht nur um die Sicherheit des Geräts, sondern auch um die Erzeugung privater Schlüssel, Kontrollen in der Lieferkette und den Umgang mit Kundendaten.
Coldcard: Schwächen bei der Schlüsselgenerierung
Am 30. Juli begannen Diebe, Vermögenswerte aus einigen Coldcard-Wallets abzuziehen. Der Vorfall wurde mit einer unzureichenden Zufallszahlenerzeugung bei der Erstellung privater Schlüssel in Verbindung gebracht. Galaxy Research schätzte die mit Coldcard verbundenen Verluste später auf mehr als 115 Millionen US-Dollar.
Der Fall zeigt, dass die Verwahrung auf einem Hardware-Gerät allein keinen vollständigen Schutz bietet: Schwächen im Verfahren zur Schlüsselgenerierung können die Sicherheit der dort verwahrten Assets ebenfalls beeinträchtigen.
Laserangriffe setzen physischen Zugriff voraus
Das interne Sicherheitsteam von Ledger testete im Juni Laserangriffe auf den Chip des Trezor Safe 7 und führte im Juli einen ähnlichen Versuch mit Tangem-Karten durch. Beide Angriffe erforderten physischen Zugriff auf das Gerät und spezielle Laborausrüstung.
Trezor erklärte, dass Kundengelder nicht betroffen gewesen seien. Tangem bezeichnete das Risiko für gewöhnliche Nutzer als „praktisch nicht existent“ und wies darauf hin, dass die beteiligten Forscher für ein konkurrierendes Unternehmen arbeiteten.
BitBox schließt Firmware-Lücken – keine Diebstähle gemeldet
BitBox behob im August mehrere Schwachstellen in der Firmware. Die Ingenieure des Unternehmens stuften die Probleme als schwerwiegend ein; BitBox meldete jedoch keine daraus resultierenden Verluste von Kundengeldern.
Im Vergleich zum Coldcard-Fall machen die Meldungen deutlich, dass Sicherheitslücken unterschiedliche Folgen haben können. Für die Einschätzung des praktischen Risikos ist auch entscheidend, ob ein Angriff physischen Zugriff voraussetzt und ob die Schwachstelle tatsächlich ausgenutzt wurde.
Datenlecks und manipulierte Geräte betreffen unterschiedliche Risiken
Bei weiteren Vorfällen standen persönliche Daten im Mittelpunkt, nicht der unmittelbare Zugriff auf Wallet-Schlüssel. Ein Versandpartner von Trezor legte Daten von 13.689 Käufern offen. Bei einem Datenleck bei SafePal waren knapp 40.000 Privatadressen betroffen. Die Offenlegung von Adressen kann die Privatsphäre beeinträchtigen und zusätzliche Sicherheitsrisiken schaffen. Die verfügbaren Informationen belegen jedoch nicht, dass dadurch direkt Krypto-Assets gestohlen wurden.
Im Fall von Ledger liegt der Schwerpunkt auf der Lieferkette: Geräte sollen vor dem Verkauf manipuliert worden sein. Wie viele Geräte betroffen waren, über welche Vertriebskanäle sie verkauft wurden und wie weit ihre Verbreitung über Südostasien hinausreicht, ist bislang nicht bekannt.
Fest steht, dass 2026 sechs Wallet-Marken Sicherheitsprobleme meldeten. Bekannte Verluste von Krypto-Assets gab es im Zusammenhang mit Coldcard und einem Ledger-Vertriebspartner. Die mögliche Reichweite der mutmaßlich manipulierten Ledger-Geräte bleibt offen.