Freiwillige Entwickler haben in etwa 30 Stunden insgesamt 4.962 Sicherheitsprobleme in 390 Bitcoin-Projekten gemeldet. Von den 391 überprüften Codebasen war genau eine frei von Fehlern.
Die Gruppe nennt sich Bitcoin Red Team. Sie bewertete 720 dieser Funde als schwerwiegend oder kritisch. Nur 147 der Probleme wurden bereits an die Entwickler weitergeleitet, die sie beheben müssen.
Jeder siebte Fund ist schwerwiegend
Die Verteilung der Schweregrade ist enger, als die Gesamtzahl vermuten lässt. Die Prüfer dokumentierten 85 kritische und 635 schwerwiegende Probleme.
Das entspricht 14,5% aller gemeldeten Schwachstellen. Die übrigen werden als mittel, gering oder als Information eingestuft. Weitere 246 Funde haben gar keine Einstufung erhalten.
Schweregrad-Ergebnisse in der Bitcoin Red Team Untersuchung. Quelle: Open-Source-Entwickler Calle auf X
Auch die Qualität der Nachweise ist unterschiedlich. Rund 21,4% der Funde wurden mit funktionierenden Proof-of-Concept-Codes belegt. Etwa 91% der Probleme wurden mit automatisierten Scans entdeckt. Lediglich acht Meldungen stellten sich als Fehlalarme heraus.
Bitcoin Red Team update: we've grown to 16 globally distributed people working 24/7
We're running a large-scale ecosystem security audit across bitcoin code bases.
27.5 hours in, we've filed 4,962 findings across 390 projects. 85 critical and 635 high severity issues.
We're at…
— calle (@callebtc) August 5, 2026
83% der Funde entstanden in nur einer Stunde
Die Angabe der 30 Stunden braucht eine Ergänzung: In einer einzigen Stunde wurden 4.101 Funde gemeldet. Dieser Anstieg war ein Nachtrag, kein Live-Scan. Rob Hamilton, Geschäftsführer des Bitcoin-Versicherers AnchorWatch, hatte eine eigene Überprüfung durchgeführt, bevor die Aktion offiziell begann.
Er erklärte, für das Durchsuchen von mehr als 100 Bibliotheken über 10.000 USD ausgegeben zu haben.
Gesponsert
Gesponsert
I have spent over $10,000 scanning 100+ bitcoin ecosystem related libraries looking for vulnerabilities with Kimi K3 running as quarterback.
Myself and a small “Red Team” have found multiple serious vulnerabilities impacting the ecosystem. They vary in scope severity, but this…
— Rob Hamilton (@Rob1Ham) August 3, 2026
Ohne diesen Nachtrag verändert sich das Tempo deutlich. In den übrigen 29 Stunden kamen rund 840 Funde hinzu. Das entspricht etwa 29 Funden pro Stunde und liegt weit entfernt von den 166,3 Funden pro Stunde, die der Bericht angibt.
Die Daten lenken den Blick weg von Hardware-Wallets
Eine weitere Analyse der Kategorien zeigt Überraschendes: Hardware-Wallets und Firmware, zu denen auch die Gruppe Coldcard zählt, wiesen mit 9,6% den zweiniedrigsten Anteil an schwerwiegenden Fehlern auf.
Andere Bereiche schnitten schlechter ab. Mining-Pools erreichten 21,7%, Infrastruktur und Tools 21,5%, Swaps und Börsen 20,9%. Datenschutz-Tools führten mit 24% die Liste an, wobei Prüfer nur drei dieser Tools untersucht haben.
Stattdessen stach das Volumen bei Krypto-Bibliotheken hervor. Dort gab es 1.385 Funde in 128 Projekten und damit über ein Viertel aller gemeldeten Sicherheitsprobleme.
Calle, der unter einem Pseudonym auftretende Physiker und Entwickler des Cashu-Ecash-Protokolls, sagte, dass die Entwickler derzeit die schwerwiegendsten Berichte bestätigen.
Die meisten kritischen Berichte wurden sehr schnell von Projektverantwortlichen bestätigt. Wir wissen, dass wir echte Schwachstellen gefunden haben, schrieben sie.
Warum sich das Red Team nach Coldcard formierte
Der Sicherheits-Check startete wegen eines defekten Chips. Coinkite gab am 30. Juli bekannt, dass die Seed-Generierung bei einigen Coldcard-Geräten auf eine vorhersehbare Software zurückgriff.
Das Problem war schwerwiegend. Nur 32 Bit kamen aus dem sicheren Element, was einem Angreifer maximal etwa 4,3 Milliarden Versuche erlaubte.
Galaxy Research bezifferte die bestätigten Diebstähle am 4. August auf 1.596 Bitcoin (BTC) von rund 7.300 Adressen. Eine vermutete vierte Angriffswelle könnte den Schaden auf fast 130 Millionen USD erhöhen. Galaxy betont, dass seine Adressliste nicht endgültig ist.
????LOSSES FROM COLDCARD HACK EXCEED $100M
High confidence 1,596 BTC has been stolen from ~7300 addresses across 3 confirmed waves + more 14 smaller incidents.
If we add suspected (but unconfirmed), the total balloons to $130m (2k BTC).
More in the thread below ????
— Galaxy Research (@glxyresearch) August 3, 2026
Die Panik zeigte sich auf der Blockchain, wo aktive Adressen auf ein 20-Monats-Hoch sprangen. Koreanische Halter blieben weitgehend verschont, weil dort Seeds häufig mit Würfeln erzeugt werden.
Dennoch taucht das Problem der schwachen Zufälligkeit immer wieder beim Bitcoin auf. Der 2023 entdeckte Milk Sad-Bug verwendete im Libbitcoin Explorer Schlüssel, die aus 32 Bit der Uhrzeit abgeleitet wurden. Im Mai führte die Ill Bloom-Sicherheitslücke zu Verlusten von 5,7 Millionen USD aus Wallets, die auf einem schwachen Generator in JavaScript beruhten.
Förderung folgt auf die Funde
OpenSats, eine gemeinnützige Organisation zur Förderung der Bitcoin-Entwicklung, startete am Donnerstag eine Code RED-Fördermöglichkeit. Sie zahlt Forschern Prämien, die Schwachstellen melden. Außerdem übernimmt sie die Kosten für künstliche Intelligenz (KI), die bei der Arbeit entstehen.
Währenddessen lag der Bitcoin-Kurs am Donnerstag bei etwa 64.396 USD, das ist ein Anstieg um 0,5 % innerhalb von 24 Stunden. Die Prüfung hat den Markt nicht beeinflusst.
Kursentwicklung von Bitcoin. Quelle: BeInCrypto
Der Zusammenhang bleibt bei dieser Zahl weiterhin wichtig. Es handelt sich um Feststellungen, nicht um bestätigte Angriffe. Die meisten werden niemals ausgenutzt werden.
Nach dem bisherigen Stand war Coldcard jedoch kein Einzelfall. Die Daten deuten zudem darauf hin, dass das nächste Problem nicht bei einer Hardware-Wallet auftreten wird.