Das gesamte Argument für Hardware-Wallets für Kryptowährungen ruht auf einem Versprechen: Der Schlüssel berührt nie das Internet, also kann ihn niemand nehmen. Dieses Versprechen ist gerade gefallen. Mindestens ein Dutzend verschiedener Hacker leeren die Konten von Bitcoin-Besitzern, die Coldcard nutzen, das Gerät der kanadischen Firma Coinkite, und haben bisher rund 130 Millionen Dollar (etwa 120 Millionen Euro) erbeutet.

Die Zahl stammt von Galaxy Research, und Tom Robinson, Mitgründer und Chefwissenschaftler der Krypto-Analysefirma Elliptic, bestätigte, die Schätzung sei annähernd korrekt. Allein in diesem Jahr gab es laut TRM Labs über 200 Hackerangriffe auf Kryptounternehmen mit einem Gesamtschaden von mehr als 950 Millionen Dollar. Der Unterschied: Diesmal fielen nicht Börsen und Apps, sondern genau jene Geräte, die die letzte Verteidigungslinie sein sollten.

Der Mechanismus ist schmerzhaft einfach. Coldcard erzeugte Seed-Phrasen - die Passwörter, die die Kryptowährung entsperren - auf vorhersagbare Weise. Sicherheitsforscher bei Block fanden die Lücke, die Hacker fanden sie früher. Wenn man weiß, wie ein Gerät Schlüssel erzeugt, muss man den Safe nicht aufbrechen. Man erzeugt die Schlüssel selbst, serienweise, für alle auf einmal.

Jonathan Goodman, dem nach eigenen Angaben 1,6 Millionen Dollar gestohlen wurden, schrieb auf X, was die Geschichte besser erklärt als jeder technische Bericht: „Das Schwerste daran ist, dass ich alles richtig gemacht habe. Ich habe niemandem je meine Seed-Phrase verraten. Meine Geräte waren nie mit dem Internet verbunden. Alles lag in mehreren Safes und Bankschließfächern.” Und dann: „Nichts davon hat gezählt. Nur weil die Hardware, die die Phrase erzeugte, eine Codezeile von 2021 mit einer Schwachstelle enthielt.”

Coinkite veröffentlichte am Donnerstag eine Warnung, aktualisierte sie am Samstag und forderte die Nutzer auf, ihre Geräte zu aktualisieren und auf eine neue Seed-Phrase zu wechseln. Eine Anfrage um Stellungnahme blieb unbeantwortet.

Was bleibt also von der Idee der vollen Kontrolle über das eigene Geld? Liegt es auf einer Börse, verlässt man sich auf die Börse. Liegt es offline, verlässt man sich darauf, dass ein Programmierer 2021 in einer Zeile keinen Fehler machte. Die Verantwortung ist umgezogen, aber nicht verschwunden - sie ist nur unsichtbar geworden, was weit schlimmer ist. Die Frage ist nicht, ob Hardware-Wallets sicherer sind als Börsen. Die Frage ist, warum jemand überhaupt Sicherheitsauditor sein muss, um sein eigenes Geld aufzubewahren.