Elch on Nostr: ...

quoting
naddr1qq…lej3

Am 31. Juli 2026 gab es einen Vorfall, den man in seiner Wucht durchaus neben Mt. Gox stellen darf – nur mit einer anderen Ursache. Innerhalb von 25 Minuten wurden rund 594 Bitcoin aus etwa 500 Wallets abgeräumt. Kein Phishing, kein Hack einer Börse, keine Unachtsamkeit der Nutzer. Ein Programmierfehler in der Firmware der Coldcard hatte fünf Jahre lang dafür gesorgt, dass der echte Hardware-Zufallsgenerator übersprungen wurde. Der Angreifer musste die Seeds nicht stehlen – er konnte sie ausrechnen. Die ganze Geschichte samt Betroffenheits-Check steht in unserem Artikel zur Coldcard-Sicherheitslücke.

Ich hatte mir schon vorher wochenlang den Kopf über eine Frage zerbrochen, die im Workshop immer wieder aufkommt: Kann ein Computer überhaupt echten Zufall erzeugen? Und wenn nicht – wie sicher ist dann eigentlich der Seed, den mir meine Hardware-Wallet ausspuckt? Seit dem 31. Juli ist diese Frage keine Theorie mehr.

Die kurze Antwort vorweg: Ein Hardware-Wallet würfelt den Zufall nicht aus, es misst ihn. Der Zufallsgenerator im Chip greift physikalisches Rauschen ab – thermisches Rauschen im Halbleiter, Jitter zwischen Oszillatoren. Das ist echter, nicht-deterministischer Zufall, dieselbe Kategorie wie ein fallender Würfel. Ein reiner Software-Zufallsgenerator dagegen rechnet mit einem Algorithmus: gleicher Startwert, gleiches Ergebnis. Das ist tatsächlich kein echter Zufall. Dieser Unterschied ist wichtig.

Und genau er wurde bei der Coldcard verwischt. Der Chip konnte es. Die Physik war da. Nur hat die Firmware sie nie gefragt und stattdessen einen simplen Software-Generator laufen lassen, gespeist aus Seriennummer und Zeitgeber-Registern.

Der eigentliche Punkt:

Du kannst nicht in den Chip hineinsehen. Du kannst nicht prüfen, ob das Rauschen wirklich sauber läuft oder ob dir jemand etwas unterschiebt, das aussieht wie Zufall, aber für einen Angreifer vorhersehbar ist. Der Zufall ist echt – wenn das Gerät ehrlich ist. Nachrechnen kannst du das nicht. Es bleibt eine Blackbox. Fünf Jahre lang hat das bei einem der meistempfohlenen Geräte der Branche niemand gemerkt.

Genau da setzt der Würfel an. Beim Würfel siehst du die Physik passieren. Du musst niemandem glauben. Das ist nicht „Chip = unsicher, Würfel = sicher" – die Entropie moderner Secure Elements ist mit hoher Wahrscheinlichkeit stark. Es ist der Unterschied zwischen Vertrauen und Prüfbarkeit. Dieselbe Logik wie Open Source gegen Closed Source, nur eine Ebene tiefer: nicht verifizierbarer Code, sondern verifizierbarer Zufall.

Dass diese Unterscheidung kein Nerd-Hobby ist, hat der Juli bewiesen: Wer seinen Seed damals mit eigenen Würfelwürfen erzeugt hat, war von dem Fehler nicht betroffen. Die Entropie kam von ihm, nicht vom kaputten Generator.

Und das Beste: Du musst kein Kryptograf sein, um das zu machen. Ein paar Würfel, etwas Disziplin, eine halbe Stunde Ruhe.

Bevor du anfängst: die Regeln, die für jede Methode gelten

Egal ob Coldcard, BitBox02 oder ein anderes BIP39-Wallet – ein paar Dinge sind nicht verhandelbar. Wenn du hier schludrig wirst, ist der ganze Aufwand umsonst und im schlimmsten Fall dein Geld weg.

• Ordentliche Würfel – Casino-Würfel sind präzisionsgefertigt und praktisch symmetrisch. Bei den Methoden, die am Ende durch SHA256 laufen, wäscht die Hash-Funktion kleine Verzerrungen ohnehin raus – trotzdem: anständige Würfel kosten fast nichts.
• Ein privater Raum – Handy weglegen – nicht nur lautlos, sondern weg. Kameras aus. Zahlen und Wörter nicht laut aussprechen. Nichts auf einen Zettel schreiben, der später im Müll landet.
• Air-Gap-Disziplin – Deine echten Würfe gehen ausschließlich ins air-gapped Gerät selbst – niemals in einen vernetzten Computer. Das ist der Punkt, an dem die meisten Anleitungen im Netz gefährlich werden.
• Genug Würfe – Ein sechsseitiger Würfel liefert pro Wurf log2(6) ≈ 2,585 Bit Entropie. Für 12 Wörter (128 Bit) brauchst du mindestens 50 Würfe, für 24 Wörter (256 Bit) mindestens 99.

Merk dir diesen einen Satz: Tippe deine echten Würfelergebnisse niemals in einen normalen, vernetzten Computer. Sobald deine tatsächlichen Rolls über eine Tastatur an einem Rechner mit Internet laufen, ist dein Seed kompromittiert – der ganze Vorteil des air-gapped Wallets ist dahin.

Nimm 24 Wörter, wenn du die Wahl hast. Und keine Abkürzungen: Jeder Wurf muss wirklich gewürfelt werden. Zahlen „ausdenken", weil man gerade keine Lust mehr hat, zerstört genau die Zufälligkeit, um die es geht.

Coldcard: der saubere Weg

Ja, ausgerechnet die Coldcard – und das ist kein Widerspruch. Das Gerät hat das Würfeln direkt eingebaut, und – das ist der Punkt – die Umrechnung ist vollständig nachprüfbar. Der Fehler vom Juli betraf den geräteinternen Zufall. Genau den schaltest du hier ab.

Vorher: Firmware prüfen:

Wenn du eine Coldcard für einen neuen Seed benutzt, bring sie zuerst auf aktuelle Firmware (Mk4/Mk5 ab 5.6.0, Q ab 1.5.0Q). Für die Mk3 hat Coinkite kein Update angekündigt – erzeuge auf ihr keinen neuen Seed mehr. Bei der reinen Würfel-Methode spielt der interne Generator zwar keine Rolle, beim Mischmodus „TRNG + Würfel" aber sehr wohl.

Du hast drei Optionen, wenn du auf einer leeren Coldcard einen neuen Seed erzeugst:

1. Nur die eingebauten TRNGs – bequem, aber du vertraust komplett der Hardware. Wie das ausgehen kann, weißt du jetzt.
2. TRNGs + Würfel – der Mittelweg: Gerätezufall gemischt mit deinem eigenen. Selbst wenn du dem Chip nicht traust und deine Würfelei fehlerhaft wäre, bleibt es stark.
3. Nur Würfel – entfernt jedes Vertrauen in die Coldcard-Hardware. Der gesamte Zufall kommt von dir und ist reproduzierbar.

So geht die reine Würfel-Methode:

1. Menü öffnen

Im Hauptmenü New Seed Words → Advanced → 24 Word Dice Roll wählen. Auf älteren Firmware-Ständen sitzt die Option stattdessen am Ende der angezeigten Wortliste: ans Ende scrollen und 4 drücken, um eigene Würfe hinzuzufügen.

2. Mindestens 99-mal würfeln

Jetzt würfelst du und tippst jede Zahl ins Gerät – ins Gerät, nicht in einen Computer. Du siehst mit jedem Wurf, wie sich der Hash-Wert ändert. Für 24 Wörter sind 99 Würfe das Minimum, für 12 Wörter 50.

3. Bestätigen

Danach ✔ drücken. Die Coldcard errechnet daraus deine 24 Wörter, die du sofort sicherst – am besten auf Stahl, an einem anderen Ort als das Gerät.

Was die Coldcard intern tut: Sie bildet den SHA256 über deine Würfe als ASCII-Zeichenkette. Das ist der elegante Teil. SHA256 nimmt deine rohe Würfel-Entropie und gibt gleichmäßig verteilte 256 Bit aus – jede minimale Würfel-Verzerrung ist damit erledigt. Aus diesen 256 Bit wird nach dem BIP39-Standard der Seed.

Kleiner Faktencheck am Rande: Bei 0 Würfen zeigt die Coldcard immer den Hash e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855 – das ist SHA256 über eine leere Zeichenkette. Genau so gehört sich das.

Der Trust-Beweis: nachrechnen, dass das Gerät nicht lügt

Das ist der Grund, warum ich die Coldcard-Methode so mag. Du kannst mit eigenen Augen prüfen, dass das Gerät deine Würfe ehrlich in einen Seed verwandelt und nicht heimlich einen manipulierten Wert unterschiebt. Nach dem Juli-Vorfall ist das keine akademische Übung mehr.

Niemals mit deinen echten Rolls:

Du prüfst die Methode mit Wegwerf-Würfen, nicht dein echtes Wallet. Coinkite formuliert das selbst unmissverständlich: Wer seine echten Würfe auf einem normalen Desktop-System eingibt, kompromittiert damit die Sicherheit seiner Coldcard vollständig.

Nimm eine beliebige Testfolge von Zahlen (z. B. 123456), gib sie einmal in die Coldcard ein und schau dir Hash und resultierende Wörter an. Dann rechnest du dasselbe unabhängig nach:

echo -n 123456 | openssl sha256

Coinkite stellt außerdem kleine Python-Skripte bereit (rolls.py für 24, rolls12.py für 12 Wörter), die aus derselben Zahlenfolge Hash und die kompletten Seed-Wörter erzeugen:

echo -n 123456 | python3 rolls.py

Stimmt das Ergebnis mit dem der Coldcard überein, hast du bewiesen: Das Gerät wendet BIP39 korrekt an und würfelt dir nichts vor.

Diese Prüfung machst du auf einem Rechner, der offline ist und bleibt – idealerweise ein von USB gebootetes Tails-System ohne Festplatte und ohne Netzwerk. Und nochmal, weil es der wichtigste Satz des ganzen Artikels ist: Das sind Test-Würfe zum Verstehen des Verfahrens. Deinen echten Seed erzeugst du danach ausschließlich auf dem Gerät, mit frischen Würfen, die kein Computer je zu sehen bekommt.

BitBox02: würfeln über die Lookup-Tabelle

Die BitBox02* geht einen etwas anderen Weg – kein SHA256-über-Zahlenketten-Feature, sondern eine Wort-Auswahl über eine Lookup-Tabelle. Standardmäßig kombiniert sie ohnehin mehrere Entropiequellen (Fertigung, dein Gerätepasswort, der Host-Rechner, Microcontroller und Secure Chip). Wer aber komplett ohne Vertrauen in die internen Zufallsgeneratoren arbeiten will, würfelt selbst.

Das Prinzip: Shift Crypto stellt eine offizielle Diceware-Anleitung samt Lookup-Tabellen als PDF bereit. Du brauchst fünf Casino-Würfel und eine Münze (ein einzelner Würfel geht auch, dauert nur länger). Pro Wort gilt:

• Würfel 1 bestimmt die Seite der Lookup-Tabelle
• Würfel 1 bis 4 bestimmen die Zeile
• Würfel 5 und der Münzwurf bestimmen die Spalte

An dieser Stelle steht dein Wort aus der BIP39-Liste. So erzeugst du die ersten 23 Wörter selbst und schreibst sie auf die Backup-Karte.

Das 24. Wort wählst du nicht frei. Es trägt die Prüfsumme – bei 24 Wörtern die letzten 8 Bit, berechnet aus deiner Entropie. Sobald du die 23 Wörter eingegeben hast, zeigt dir die BitBox02 acht gültige Optionen für das letzte Wort an. Von diesen achten suchst du dir eine zufällig aus und notierst sie als 24. Wort. Danach validierst du das Backup, indem du die Wörter noch einmal gegenprüfst.

Das Schöne daran: Die 23 Wörter mit deiner echten Entropie hängen an keinem Zufallsgenerator – nur an deinen Würfeln. Lediglich die Prüfsummen-Rechnung überlässt du dem Gerät, und die ist deterministisch und damit ohnehin nicht „vertrauenskritisch".

Die Tabellen selbst lädst du direkt von der Herstellerseite (BitBox_Diceware_HowTo.pdf) – bei diesem Thema zählt jede Stelle, deshalb bitte nicht aus zweiter Hand. Wie du die entstandenen Wörter danach sauber sicherst, zeigen wir in Seed-Phrase mit der BitBox02 sichern.

Jedes andere BIP39-Wallet: geht auch, aber ehrlich mit dem Kleingedruckten

Hast du weder Coldcard noch BitBox, kannst du Entropie würfeln und über ein Open-Source-Tool wie SeedPicker oder den Ian-Coleman-BIP39-Generator (offline) in 24 Wörter umwandeln, die du dann ins Wallet importierst.

Aber sei ehrlich mit dir: In dem Moment, in dem ein Computer deine Würfe in Wörter übersetzt, holst du dir einen Vertrauenspunkt zurück, den du gerade loswerden wolltest. Das ist nur dann vertretbar, wenn dieser Rechner ein air-gapped Tails-System ohne Netzwerk ist, das Tool vorab verifiziert wurde und die Maschine danach nichts speichert. Der geräteinterne Weg (Coldcard, BitBox) ist sauberer, weil deine Entropie das air-gapped Gerät nie verlässt.

Wo weiterhin Vertrauen steckt – und das gehört dazugesagt

Würfeln nimmt dir eine Blackbox ab: den Zufallsgenerator. Es macht nicht alles vertrauensfrei, und alles andere zu behaupten wäre unehrlich.

Du vertraust weiterhin darauf, dass die Firmware die BIP32-Ableitung und das Signieren korrekt macht. Der Trost hier: Sowohl Coldcard als auch BitBox02 sind Open Source und reproducible built – du kannst prüfen, was der Code tut, auch wenn du es nicht selbst nachrechnest. Genau darüber ist der Juli-Fehler überhaupt gefunden worden: Externe konnten den Code lesen. Und du bist weiter selbst verantwortlich für Passphrase, Backup und physische Sicherheit. Der beste Seed der Welt nützt nichts, wenn die Backup-Karte offen im Regal liegt.

Wer noch eine Ebene weiter gehen will, verteilt das Risiko auf mehrere Geräte verschiedener Hersteller – der Einstieg dazu steht in Multisignatur-Wallets. Alle im Juli geleerten Wallets waren Single-Sig.

Das ist kein Grund, es sein zu lassen. Es ist nur der Unterschied zwischen „ich habe ein Problem gelöst" und „ich habe alle Probleme gelöst". Ersteres ist ehrlich, Letzteres wäre Marketing.

Wenn du das Verfahren einmal selbst durchgezogen hast, verändert sich etwas – der Seed fühlt sich nicht mehr an wie etwas, das dir ein Gerät gegeben hat, sondern wie etwas, das du selbst in der Hand hattest. Und genau darum geht es.

Haftungsausschluss:

Dieser Artikel dient der Bildung und beschreibt ein Verfahren nach bestem Wissen. Die Erzeugung eines Seeds und die Verwahrung von Bitcoin geschehen ausschließlich in deiner eigenen Verantwortung und auf eigenes Risiko. Ein Fehler beim Würfeln, bei der Eingabe, beim Backup oder bei der Aufbewahrung kann zum unwiderruflichen Totalverlust deiner Bitcoin führen – es gibt keine Stelle, die eine solche Transaktion rückgängig macht, und niemanden, der dafür haftet. Genau das ist der Preis der Selbstverwahrung. Wir übernehmen keine Haftung für Schäden oder Verluste, die direkt oder indirekt aus der Anwendung der hier beschriebenen Schritte entstehen. Herstellerangaben, Firmware-Stände und Menüführungen ändern sich – prüfe die Anleitungen von Coinkite und Shift Crypto immer selbst in ihrer aktuellen Fassung. Dieser Text ist weder Anlage- noch Rechts- oder Steuerberatung. Teste dein Setup zuerst mit einem Betrag, dessen Verlust du verschmerzen könntest.

👉 Selbstverwahrung prüfen 👉 Kostenloses Erstgespräch

Häufige Fragen

Ist ein Würfel wirklich zufälliger als ein Chip?

Nicht unbedingt „zufälliger" – aber prüfbarer. Der Hardware-Zufallsgenerator eines Secure Elements misst echtes physikalisches Rauschen und liefert im Normalfall exzellente Entropie. Du kannst nur nicht von außen kontrollieren, ob er das im konkreten Gerät auch tut. Beim Würfel siehst du die Physik mit eigenen Augen. Der Coldcard-Vorfall vom 31. Juli 2026 ist das Lehrstück dazu: Der Chip konnte es, die Firmware hat ihn nur nie gefragt.

Wie viele Würfe brauche ich wirklich?

Ein sechsseitiger Würfel liefert pro Wurf etwa 2,585 Bit. Für eine 12-Wort-Seed (128 Bit) sind das mindestens 50 Würfe, für eine 24-Wort-Seed (256 Bit) mindestens 99. Das sind auch genau die Minima, die die Coldcard erzwingt. Mehr Würfe schaden nie, weniger machen den Seed angreifbar.

Machen billige Würfel meinen Seed unsicher?

Praktisch nicht. Kleine Ungleichgewichte führen zu minimalen Verzerrungen in der Verteilung, und die werden von SHA256 vollständig weggewaschen – die Hash-Funktion verteilt die Bits gleichmäßig, egal wie leicht schief die Eingabe war. Casino-Würfel sind trotzdem die bessere Wahl, weil sie ein paar Euro kosten und die Diskussion damit erledigt ist.

Darf ich meine Würfe in einen Rechner eingeben, um sie zu prüfen?

Deine echten Würfe: niemals. Sobald sie über eine Tastatur an einem vernetzten Rechner laufen, ist der Seed als kompromittiert zu behandeln. Zum Verstehen und Prüfen des Verfahrens nimmst du eine beliebige Wegwerf-Folge wie 123456, und zwar auf einem offline gebooteten Tails-System. Deinen echten Seed erzeugst du danach mit frischen Würfen ausschließlich auf dem Gerät.

Ich habe meinen Seed damals mit Würfeln auf einer Coldcard erzeugt. Bin ich von der Sicherheitslücke betroffen?

Wenn du mindestens 50 unabhängige, selbst geworfene Würfe eingegeben hast, kam die Entropie von dir und nicht vom defekten Generator – nach Einschätzung des Herstellers bist du dann nicht betroffen. Warst du dir bei der Anzahl unsicher oder hast die Würfel nur zusätzlich zum Gerätezufall genutzt, behandle den Seed sicherheitshalber als gefährdet. Die Details stehen im Artikel zur Coldcard-Sicherheitslücke.

Kann ich einen bestehenden Seed nachträglich „auswürfeln"?

Nein. Entropie lässt sich nicht nachträglich hinzufügen – ein Seed steht mit seiner Erzeugung fest. Wenn du deinem bisherigen Seed nicht mehr traust, führt der Weg über einen komplett neuen Seed und einen Umzug deiner Bitcoin. Den alten Seed behandelst du danach als verbrannt und benutzt ihn nie wieder.

---

Quellen: COLDCARD: Verifying Dice Roll Math, COLDCARD: Master Seed, BitBox Support: Roll your own Bitcoin seed, BitBox02 Diceware HowTo (PDF). Stand: 1. August 2026.

_{* = Affiliate-Link. Wenn du darüber kaufst, unterstützt du diese Seite – für dich ändert sich nichts am Preis. Mehr Infos}

---

Dieser Artikel erschien zuerst auf bitcoinlighthouse.de – dort findest du auch unsere Bitcoin-Workshops in München.