Ende Juli 2026 erschütterte ein massiver Sicherheitsvorfall die Bitcoin-Community: Eine Schwachstelle in der Coldcard-Hardware-Wallet von Coinkite ermöglichte den Diebstahl von über 1.700 BTC (etwa 116 Millionen USD). Gleichzeitig senkte BlackRock die In-Kind-Tauschschwelle seines IBIT-ETFs von 25 Millionen auf 1 Million USD, was den Zugang zu institutionellen Bitcoin-Anlagen weiter demokratisierte. Beide Ereignisse werfen zentrale Fragen zur Sicherheit von Selbstverwahrung, zu steuerlichen Mechanismen beim Übergang zu Finanzprodukten und zum wachsenden Spannungsfeld zwischen dezentraler Eigenverwahrung und zentralisierter ETF-Struktur auf.
Technische Ursache der Coldcard-Entropie-Lücke
Der Kern des Problems lag im Firmware-Update von März 2021, das die Seed-Generierung von der hardwarebasierten True-Random-Number-Generator (TRNG) auf den schwachen MicroPython-Software-Pseudorandom-Generator „Yasmarang“ umstellte. Dadurch sank die effektive Schlüsselstärke der betroffenen Wallets von 128 Bit auf lediglich 40 bis 72 Bit. Diese Reduktion ermöglichte Offline-Brute-Force-Rekonstruktionen, ohne dass Angreifer physischen Zugriff auf das Gerät benötigen.
Effektive Schlüsselstärke: 40-72 Bit (statt 128 Bit) – Jahr 2026
Entdeckungszeitraum: Firmware-Update März 2021 bis zum Hack Juli 2026
Der Bitcoin-Entwickler James O’Beirne hatte bereits im Mai 2025 auf Schwachstellen im Entropie-Code hingewiesen. Coinkite verwies die Warnung zunächst zurück, sodass ein Zeitraum von 14 Monaten zwischen der ersten Warnung und der Ausnutzung der Lücke entstand.
Warnungs- bis Ausnutzungszeitraum: 14 Monate (Mai 2025 – Juli 2026)
Auswirkungen und geschätzte Verluste
Der Angriff führte zu einem geschätzten Verlust von 1 816 BTC, was zum Zeitpunkt des Vorfalls rund 116 Millionen USD entsprach (Quelle S1). Nutzer, die zusätzlich eine Passphrase (25-Wort-Phrase) setzten oder eigene Entropie (z. B. Würfeln) einbrachten, blieben weitgehend unversehrt. Der Bug wurde später durch ein KI-basiertes Analyse-Tool entdeckt, nachdem er etwa fünf Jahre unbemerkt geblieben war.
Gesamtverlust: 1 816 BTC (~116 Mio. USD) – Jahr 2026
Betroffene Geräte: Coldcard-Modelle mit Firmware-Update März 2021
Seit dem Sommer 2025 erlaubt der In-Kind-Mechanismus den direkten Tausch von echten Bitcoins gegen Anteile des IBIT-ETFs (und umgekehrt) ohne einen steuerpflichtigen Verkauf. Anfangs war die Mindestsumme für In-Kind-Transaktionen auf 25 Millionen USD festgelegt. Nach drei Quartalen steigender Nachfrage senkte BlackRock die Schwelle um 96 % auf 1 Million USD, um Investoren jeder Größenordnung den Zugang zu ermöglichen.
Absenkung der Mindestschwelle: von 25 Mio. USD auf 1 Mio. USD (96 % Reduktion) – Jahr 2026
Autorisierte In-Kind-Platzierer (APs): 12 – Jahr 2026
Der Vorteil des In-Kind-Verfahrens liegt in der Vermeidung von steuerlich relevanten Kassaverkäufen, da die Bitcoin-Bestände direkt in ETF-Anteile umgewandelt werden können.
Zunahme bei In-Kind-Transaktionen und BlackRocks gesenkte Schwelle
In den drei Quartalen nach Einführung des In-Kind-Mechanismus in Bitcoin-Spot-ETFs hat sich die Nachfrage kontinuierlich gesteigert – auch bei Privatanlegern. BlackRock senkte daraufhin Ende 2026 die Tauschschwelle von einst 25 Millionen US-Dollar auf 1 Million, um Investoren jeden Schwellenwerts den Zugang zu gewähren (TFTC News, 2026). Das In-Kind-Verfahren ermöglicht es, Bitcoin direkt in ETF-Anteile zu konvertieren, wodurch steuerlich sensible Kassaverkäufe verhindert werden können. Die 12 autorisierten Teilnehmer (authorized participants, kurz APs), die solche Tauschvorgänge durchführen dürfen, ermöglichen so institutionellen sowie mittelgroßen Investoren eine flexible Anlagestrategie (Bitcoin Association, 2026).
Marktzugang für Anleger jeder Größe
Direkt nach dem Coldcard-Vorfall flossen in einer Woche rund 850 Millionen USD in US-Bitcoin-Spot-ETFs – die beste Woche seit April 2026 und die drittbeste des Jahres. Bloomberg berichtete von einem 4-Monats-Hoch der ETF-Zuflüsse, obwohl gleichzeitig ein Teil der Anleger (265,4 Mio. USD) am darauffolgenden Tag wieder aus den Fonds auszog. Die Daten zeigen, dass das Interesse an einfachen, verwahrungsfreien Produkten trotz des Sicherheitsvorfalls stark bleibt.
Zuflüsse in die Woche nach dem Vorfall: ca. 850 Mio. USD
Abzug am Tag nach dem Vorfall: 265,4 Mio. USD
Selbstverwahrung versus ETF-Zentralisierung – Kontroversen und Gegenargumente
Der Vorfall hat die Diskussion um die Vor- und Nachteile von Selbstverwahrung im Vergleich zu institutionellen Produkten neu entfacht. Zwei zentrale Gegenpunkte werden häufig genannt:
Firmware-Update repariert kompromittierte Seeds nicht nachträglich: Nutzer, die nur die Software aktualisieren, ohne ihre Mittel auf einen völlig neuen Seed zu übertragen, bleiben weiterhin gefährdet.
Langfristiges Risiko zentralisierter Strukturen: Ein massenhafter Umstieg auf ETFs führt dazu, dass die Kontrolle über private Schlüssel in die Hände großer Emittenten wie BlackRock wandert, was der Dezentralisierung von Bitcoin entgegensteht.
Häufig gestellte Fragen
Warum stellen ein Firmware-Update kompromittierte Seeds nicht wieder her? Ein Software-Update behebt ausschließlich die künftige Sammlung von Zufallswerten (z. B. bei neuen Wallets). Eingespeicherte, aber mathematisch geschwächte Samen (Seeds) bleiben weiterhin berechenbar und können durch Brute-Force-Angriffe entschlüsselt werden, solange die Mittel nicht auf einen neuen Seed migriert werden.
Welcher Vorteil ergibt sich aus dem In-Kind-Verfahren beim Bitcoin-ETF? Der Anleger kann echte Bitcoin direkt in ETF-Anteile eintauschen, ohne vorherige Veräußerung gegen Geld. Dadurch entsteht kein steuerpflichtiges Handelsereignis.
Wie viele autorisierte Teilnehmer gibt es für die In-Kind-Transaktionen? Aktuell gibt es 12 autorisierte Teilnehmer (APs), bei deren Einlagen der Tausch über In-Kind durchgeführt werden kann.
Fazit
Der Coldcard-Entropie-Sicherheitsvorfall von Juli 2026 verdeutlicht, dass selbst etablierte Hardware-Wallets durch fehlerhafte Firmware-Implementierungen erheblich gefährdet sein können. Die Tatsache, dass ein Firmware-Update die bereits generierten Seeds nicht repariert, macht eine sofortige Migration zu neuen, sicheren Seeds unabdingbar. Parallel dazu zeigt BlackRocks Entscheidung, die In-Kind-Tauschschwelle für den IBIT-ETF auf 1 Million USD zu senken, wie stark das institutionelle Interesse an Bitcoin-Anlagen wächst und wie wichtig steueroptimierte Zugangswege für Anleger jeder Größe sind.
Die Gegenüberstellung von Selbstverwahrung und ETF-Zentralisierung bleibt ein zentrales Spannungsfeld: Während die Eigenverwaltung die Dezentralisierung und Zensurresistenz von Bitcoin wahrt, bieten ETFs einen unkomplizierten, regulierten Zugang, der insbesondere für weniger technikaffine Investoren attraktiv ist. Die langfristige Entwicklung wird davon abhängen, ob die Branche aus den Lehren des Coldcard-Falls robustere Sicherheitsstandards etabliert und ob regulatorische Rahmenbedingungen die Balance zwischen dezentraler Kontrolle und zentralisierter Verwahrung wahren können.
