Von COLDCARD zu OneKey migrieren: Neue Wiederherstellungsphrase erstellen und Bitcoin sicher übertragen

Beim Wechsel von COLDCARD zu OneKey sind zwei vollkommen unterschiedliche Vorgehensweisen möglich:

• Wer die bisherige Wiederherstellungsphrase in OneKey importiert, stellt auf einem neuen Gerät lediglich dieselben privaten Schlüssel wieder her.
• Nur wer auf OneKey eine vollständig neue Wiederherstellungsphrase erzeugt und die Bitcoin anschließend on-chain an neue Adressen überträgt, führt eine echte Schlüsselmigration durch.

Wurde die ältere Phrase möglicherweise mit betroffener COLDCARD-Firmware erzeugt, löst die erste Variante das Problem nicht. Neue Hardware versieht eine alte Phrase nicht nachträglich mit neuer Zufälligkeit; sie leitet nach demselben Standard wieder dieselbe Wallet ab. Dieser Artikel behandelt deshalb die zweite Variante: neue Schlüssel erzeugen, das Ziel überprüfen, eine Testübertragung durchführen, das Guthaben migrieren und die alten Schlüssel außer Betrieb nehmen.

OneKey bestätigte in einer offiziellen Stellungnahme, dass weder OneKey-Geräte noch die OneKey-Codebasis von diesem COLDCARD-RNG-Fehler betroffen sind. Die Entropie für die Erzeugung einer neuen Wallet wird bei OneKey innerhalb eines EAL6+-Secure-Elements erzeugt. Der eigentliche Nutzen der Migration besteht daher nicht darin, mit neuer Hardware dieselbe alte Phrase weiterzuverwenden, sondern auf einer unabhängigen Hardware-Entropiequelle vollständig neue Schlüssel zu erzeugen und die Vermögenswerte anschließend on-chain zu übertragen.

Vor dem Start: Ist eine Schlüsselrotation tatsächlich erforderlich?

Coinkites Sicherheitshinweis verlangt eine Bewertung anhand von Modell, Firmwarezweig und Version zum Zeitpunkt der Erzeugung sowie anhand etwaiger Würfeleingaben und der BIP-39-Passphrase. Vor der Migration sollten folgende Punkte feststehen:

• Korrigierte Firmware behebt nur die künftige Erzeugung neuer Wiederherstellungsphrasen und repariert keine alte Phrase.
• Eine betroffene ältere Phrase, die die offizielle Ausnahme für unabhängige Würfeleingaben nicht erfüllt, sollte ersetzt werden.
• Eine starke und einzigartige Passphrase schafft eine zusätzliche Hürde; Coinkite empfiehlt dennoch eine zeitnahe Migration.
• Wenn Erzeugungsversion oder Bedingungen der Würfeleingaben nicht bekannt sind, ist die vorsichtige Migrationsvariante angemessen.

Liegt die Phrase außerhalb des Sicherheitshinweises und soll ein weiteres Gerät nur als Ersatzsignierer derselben Wallet dienen, ist der Import der alten Phrase technisch eine „Wiederherstellung“, nicht die hier beschriebene Schlüsselrotation. Beide Ziele sollten nicht in einem einzigen Ablauf vermischt werden.

Vorbereitung: Unter Zeitdruck keine Werkzeuge improvisieren

Planen Sie einen Zeitraum ohne Unterbrechungen und stellen Sie Folgendes bereit:

Speichern Sie weder die alte noch die neue Wiederherstellungsphrase in Chatfenstern, Webformularen, Cloud-Dokumenten, Screenshots, Fotoalben oder vernetzten Notizen. Seriöser Support von OneKey, COLDCARD oder einer Koordinatorsoftware benötigt diese Phrase nicht.

Sind von einer alten Adresse bereits nicht autorisierte Ausgaben erfolgt, ist eine normale Anleitung möglicherweise nicht für die aktuelle Lage geeignet. Vernichten Sie Gerät oder Protokolle nicht voreilig. Sichern Sie Transaktions-IDs, Wallet-Fingerprints, Firmwareversionen und rechtmäßig erlangte Aufzeichnungen und erwägen Sie einen vertrauenswürdigen professionellen Incident-Response-Kanal.

Schritt 1: Herkunft von Zielgerät und Software prüfen

Kontrollieren Sie nach Erhalt des OneKey-Geräts Verpackung und Manipulationsschutz. Der offizielle Einstiegsleitfaden für OneKey Pro warnt ausdrücklich davor, Geräte mit bereits festgelegter PIN oder vorgegebener Wiederherstellungsphrase zu verwenden. Bei auffälliger Verpackung oder beschädigtem Siegel sollte die Einrichtung abgebrochen und der offizielle Support kontaktiert werden.

Laden Sie die App ausschließlich über den offiziellen OneKey-Download herunter. Nach dem Verbinden können Sie die Bestätigung auf dem Gerät vornehmen und das Ergebnis gemäß dem Verfahren zur Echtheitsprüfung ansehen. Die Echtheitsprüfung ist ein Teil der Lieferkettenkontrolle. Sie macht Sicherung, Host-System und künftige Transaktionen nicht automatisch sicher.

Fortgeschrittene Nutzer können zusätzlich anhand der Dokumentation zur Firmware-Konsistenz die Prüfsummen offiziell signierter Dateien, der GitHub-CI-Builds und der CDN-Dateien vergleichen. Wenn Sie diese manuelle Prüfung nicht vornehmen, verwenden Sie zumindest nur Updates aus der offiziellen App oder von der offiziellen Firmware-Seite und installieren Sie keine in Gruppenchats weitergegebenen Dateien.

Schritt 2: Auf OneKey „Neue Wallet erstellen“ wählen

Wählen Sie auf einem neuen oder sicher zurückgesetzten OneKey-Gerät Create New Wallet / Neue Wallet erstellen, nicht Import Wallet / Wallet importieren. Bei OneKey Pro umfasst der offizielle Ablauf die Wahl einer unterstützten Länge der Wiederherstellungsphrase, eine neue PIN, das Ablesen und Notieren der Phrase am Gerät sowie die anschließende Bestätigung der Wortreihenfolge.

Vier Grenzen sind dabei zwingend:

1. Die Wiederherstellungsphrase muss jetzt auf dem OneKey-Zielgerät erzeugt werden. Geben Sie die alte COLDCARD-Phrase nicht in OneKey ein.
2. Lesen Sie die Phrase nur auf dem Gerätedisplay ab. App und Website dürfen nicht verlangen, die Phrase einer Hardware-Wallet anzuzeigen.
3. Notieren Sie sie in exakter Reihenfolge offline. Richtige Wörter in falscher Reihenfolge stellen nicht dieselbe Wallet wieder her.
4. Schließen Sie die Prüfung auf dem Gerät ab. Bevor größere Beträge eingehen, muss die Papier- oder Metallsicherung die vom Gerät geforderte Reihenfolgeprüfung bestehen.

Wer nur ein Zielgerät besitzt, sollte es nicht für einen vermeintlichen Wiederherstellungstest mehrfach zurücksetzen, ohne den Ablauf genau zu verstehen. Führen Sie mindestens die integrierte Phrase-Prüfung durch. Für eine vollständige Wiederherstellungsprobe ist nach Möglichkeit ein zweites vertrauenswürdiges, leeres und kompatibles Hardware-Gerät zu verwenden, und zwar vor dem Eingang eines hohen Betrags.

Schritt 3: Bitcoin-only, AirGap und Passphrase festlegen

Diese Optionen verändern den täglichen Ablauf und sollten möglichst entschieden werden, bevor die Empfangsadressen größere Beträge erhalten.

Bitcoin-only-Modus

OneKey erklärt, dass OneKey Pro bei passenden App- und Firmwareversionen in den Bitcoin-only-Modus wechseln kann. Die Oberfläche beschränkt sich dann auf Bitcoin und zugehörige Funktionen; ein späterer Wechsel in den Standardmodus ist möglich. Der Vorgang verlangt die Bestätigung, dass die Phrase gesichert ist. Da sich Versionsanforderungen ändern können, sollten keine alten Screenshots als alleinige Anleitung dienen.

Der Bitcoin-only-Modus reduziert den aktuell aktiven Funktionsumfang, ersetzt aber weder Adressprüfung und Sicherung noch ein sicheres Host-System. Wer mit demselben Gerät weitere Netzwerke verwalten möchte, sollte prüfen, ob der Standardmodus besser zum eigenen Bedarf passt.

QR AirGap

Die AirGap-Dokumentation von OneKey Pro beschreibt, dass das Gerät nach Aktivierung von AirGap die Datenübertragung über USB, Bluetooth und NFC abschaltet und Anfragen sowie Signaturergebnisse per QR-Code mit der App austauscht. Die Dokumentation deckt derzeit Bitcoin- und EVM-Adressen ausdrücklich ab; damit kann Bitcoin über diesen Weg migriert werden.

AirGap reduziert direkte Datenverbindungen, doch ein QR-Code enthält weiterhin eine Transaktion, die das Gerät auswertet. Unabhängig von QR, USB oder Bluetooth müssen Zieladresse, Betrag und Gebühr auf dem OneKey-Display geprüft werden.

Neue Passphrase

Eine Passphrase ist eine Funktion für erfahrene Nutzer und leitet zusammen mit der Wiederherstellungsphrase eine andere Wallet ab. Soll die neue Wallet eine Passphrase verwenden, muss diese neu, einzigartig und exakt wiederherstellbar sein und getrennt von der Phrase aufbewahrt werden. Die OneKey-Dokumentation zu Passphrasen und versteckten Wallets weist darauf hin: Ohne die Passphrase ist kein Zugriff auf die entsprechende Wallet möglich; schon ein anderes Zeichen öffnet einen anderen, ebenfalls gültigen Adressraum.

Führen Sie unter Zeitdruck keine Passphrase ein, die Sie nicht zuverlässig sichern können. Komplexität ist für sich genommen kein Sicherheitsgewinn.

Schritt 4: OneKey App verbinden und Empfangsadresse am Gerät prüfen

Verbinden Sie OneKey nach der Initialisierung mit der offiziellen App und legen Sie ein Bitcoin-Hardwarekonto an. Öffnen Sie Receive / Empfangen, wählen Sie das Bitcoin-Mainnet und das vorgesehene Konto und starten Sie die Prüfung auf dem Gerät.

Gemäß der OneKey-Anleitung zum Senden und Empfangen und dem Pro-Einstiegsleitfaden:

1. zeigt die App die Empfangsadresse an;
2. zeigt das OneKey-Gerät gleichzeitig die vollständige Adresse an;
3. werden beide Zeichen für Zeichen verglichen und auf dem Gerät bestätigt;
4. wird nur diese gerätegeprüfte Adresse in der alten Wallet verwendet.

Eine neue Phrase muss neue Adressen erzeugen. Erwarten Sie daher nicht, dass die Adresse mit der alten COLDCARD-Adresse übereinstimmt. Ist sie wider Erwarten identisch, brechen Sie ab und prüfen, ob die alte Phrase versehentlich importiert, das falsche Konto verbunden oder weiterhin eine alte Watch-only-Wallet angezeigt wurde.

Vergewissern Sie sich außerdem, dass es sich um das Bitcoin-Mainnet handelt und nicht um ein Testnet oder ein anderes Netzwerk mit ähnlich bezeichnetem Asset. Vergleichen Sie die Adresse nach dem Einfügen erneut mit dem Hardware-Display, um eine Ersetzung durch Zwischenablage-Malware zu erkennen.

Schritt 5: Kleinen Testbetrag aus der alten Wallet senden

Erstellen Sie mit der bisherigen COLDCARD und dem vertrauten Bitcoin-Koordinator eine Transaktion über einen eindeutig erkennbaren kleinen Betrag an die gerade auf dem OneKey-Display geprüfte Adresse. Prüfen Sie vor der Signatur:

• Zieladresse und gerätegeprüfte OneKey-Adresse stimmen überein;
• Betrag und Miner-Gebühr entsprechen der Erwartung;
• Wechselgeld geht an eine erkennbare Wechselgeldadresse der alten Wallet;
• UTXOs und Konto sind korrekt und es werden keine ungeplanten Vermögenswerte bewegt.

Speichern Sie nach der Übertragung die Transaktions-ID, warten Sie die zuvor festgelegte Zahl an Bestätigungen ab und prüfen Sie danach den Eingang in OneKey App. Der sichtbare Kontostand ist nur die erste Prüfung. Bestätigen Sie zusätzlich, dass das Gerät die richtige Wallet öffnet und dass die gesicherte neue Phrase und gegebenenfalls Passphrase zu demselben Konto gehören.

Ein angezeigter Testeingang ist kein Grund, die Sicherungsprüfung auszulassen. Eine Wallet kann Beträge empfangen, ohne dass ihre spätere Wiederherstellung oder das Ausgeben bereits bewiesen wäre.

Schritt 6: Restliche Bitcoin übertragen

Erstellen Sie nach erfolgreichem Test eine Liste aller UTXOs und Konten, die noch von der alten Phrase kontrolliert werden. Ob sie gemeinsam oder in mehreren Transaktionen migriert werden, hängt von den eigenen Anforderungen an Privatsphäre, Gebühren und Buchführung ab. Das Wort „alles“ in einer Anleitung sollte nicht dazu führen, UTXOs zusammenzuführen, deren Verbindung vermieden werden sollte.

Wiederholen Sie bei jeder Transaktion dieselben Prüfungen:

1. Zieladresse erneut auf dem OneKey-Gerät anzeigen und bestätigen; nicht aus einem alten Screenshot oder Chat kopieren.
2. Ausgänge, Beträge und Miner-Gebühr auf der alten COLDCARD prüfen und erst dann signieren.
3. Transaktions-ID nach der Übertragung notieren und Eingang im vorgesehenen neuen Konto kontrollieren.
4. Alte Wallet auf weitere UTXOs, andere Konten, Passphrase-Wallets und noch nicht bestätigtes Wechselgeld prüfen.

Bitcoin-Transaktionen sind üblicherweise unumkehrbar. Sobald Adresse, Konto, Passphrase, Kontostand oder Geräte-Fingerprint nicht übereinstimmen, ist der Ablauf anzuhalten. Ein größerer Betrag ist kein geeigneter zweiter Test.

Multisig-Migration: Ein Gerätewechsel ersetzt keinen Mitsignaturschlüssel

Bei Multisig muss eine vollständig neue Richtlinie mit einem neuen OneKey-Schlüssel eingerichtet werden. Die alte COLDCARD-Phrase in OneKey zu importieren oder den Gerätenamen im Koordinator von COLDCARD in OneKey umzubenennen rotiert keinen Mitsignaturschlüssel.

Für ein 2-of-3-Setup ist folgende Reihenfolge geeignet:

1. Neue Phrase auf OneKey erzeugen und die zugehörigen öffentlichen Mitsignaturinformationen exportieren.
2. Mit den Signierern, die beibehalten oder ebenfalls rotiert werden sollen, eine neue 2-of-3-Wallet einrichten.
3. Deskriptor, Schwellenwert, Fingerprints und Ableitungsinformationen aller Signierer sichern. Ein Deskriptor ist keine Wiederherstellungsphrase, muss aber dennoch geschützt und verfügbar bleiben.
4. Neue Richtlinie und Empfangsadresse auf mehreren Signiergeräten prüfen.
5. Erst einen kleinen Testbetrag an die neue Multisig-Adresse senden und anschließend eine Testausgabe mit der erforderlichen Zahl an Signierern durchführen.
6. Vermögenswerte von der alten Multisig-Richtlinie on-chain an die neue Richtlinie übertragen.

OneKey bietet eine offizielle Anleitung für BTC-Multisig mit Sparrow. Sie behandelt Schwellenwert, Signierer, Konfigurationssicherung, Empfang und Übertragung. Multisig reduziert einzelne Abhängigkeiten, erhöht aber zugleich die Wiederherstellungskomplexität. Ohne vollständigen Deskriptor und genügend Sicherungen der Mitsignierer ist es nicht automatisch sicherer.

Schritt 7: Alte Phrase erst nach Abschluss außer Betrieb nehmen

Prüfen Sie vor dem Abschluss jeden Punkt:

• Alle vorgesehenen UTXOs sind an der neuen Single-Sig- oder Multisig-Adresse eingegangen und ausreichend bestätigt.
• Wallet-Fingerprint, Konto und Adressen auf OneKey stimmen mit den Aufzeichnungen überein.
• Die neue Wiederherstellungsphrase ist offline gesichert und überprüft.
• Eine neue Passphrase ist, falls verwendet, exakt und getrennt gesichert.
• Neuer Multisig-Deskriptor und Mitsignaturinformationen lassen sich wiederherstellen.
• Die alte Wallet enthält keine übersehenen Passphrase-Konten, Wechselgelder oder ausstehenden Transaktionen.

Bis alle Bedingungen erfüllt sind, muss die alte Sicherung aufbewahrt werden. Anschließend sollte sie deutlich als „außer Betrieb – nicht mehr für Einzahlungen verwenden“ gekennzeichnet werden. Entfernen Sie nicht benötigte digitale Spuren und geben Sie alte Adressen nicht weiter an Zahlende. Handelt es sich bei dem Gerät um Beweismittel einer Untersuchung, darf es nicht eigenmächtig gelöscht oder zerstört werden.

Auch eine alte Phrase mit Kontostand null sollte nie veröffentlicht werden. Historische Adressen, Signaturbeziehungen und versehentlich später eingehende Beträge können weiterhin Risiken für Privatsphäre und Vermögen schaffen.

Häufige Fehlerwege

Die häufigsten Migrationsprobleme entstehen weniger aus der Kryptografie als aus einem verwechselten Ablauf:

• Import der alten Phrase gilt fälschlich als Migration. Tatsächlich bleiben die privaten Schlüssel unverändert.
• Adresse wird nur in der App geprüft. Ein manipulierter Host kann eine Angreiferadresse anzeigen; die Prüfung am Hardware-Display ist unverzichtbar.
• Der erste Transfer umfasst sofort das gesamte Guthaben. Bei einer falschen Adresse, Passphrase oder Kontokonfiguration fehlt jede Ausweichmöglichkeit.
• Die alte Sicherung wird zu früh vernichtet. Unbestätigtes Wechselgeld, versteckte Wallets oder Multisig-Konfigurationen können sie noch benötigen.
• PIN und Passphrase werden verwechselt. Sie erfüllen unterschiedliche Aufgaben; die PIN leitet keine neue Wallet ab.
• Nach Wiederherstellung auf neuer Hardware werden weiterhin alte Adressen genutzt. So werden die alten Schlüssel nie wirklich außer Betrieb genommen.

Ein eindeutiges Abschlusskriterium ist wichtiger als der bloße Wechsel der Marke.

Fazit

Eine sichere Migration von COLDCARD zu OneKey besteht nicht darin, die Wiederherstellungsphrase auf ein anderes Gerät zu kopieren. Sie schafft eine neue Schlüsselkontrolle: Zielgerät prüfen, auf OneKey eine vollständig neue Phrase erzeugen, Sicherung und optionale Passphrase offline dokumentieren, Empfangsadresse am Hardware-Display bestätigen, einen kleinen Test durchführen und anschließend die restlichen UTXOs übertragen. Bei Multisig ist zusätzlich eine neue Richtlinie zu erstellen und on-chain zu finanzieren.

Die Migration sollte zeitnah erfolgen, aber nie auf Kosten der Überprüfung. Solange die alte Phrase noch Vermögenswerte kontrolliert, ist der Vorgang nicht abgeschlossen. Erst wenn die neue Wallet wiederherstellbar ist, alle vorgesehenen Beträge bestätigt eingegangen und sämtliche Konten der alten Wallet geprüft sind, ist die Schlüsselrotation wirklich beendet.

Referenzen

• Coinkite: COLDCARD Security Advisory
• OneKey: Erste Schritte mit OneKey Pro
• OneKey: Echtheitsprüfung von OneKey-Geräten
• OneKey: Konsistenz von Firmware und veröffentlichtem Quellcode authentifizieren
• OneKey: Kryptowährungen in OneKey App senden und empfangen
• OneKey: Verbindung mit OneKey App per QR-Code (AirGap)
• OneKey: Bitcoin-only-Modus
• OneKey: Passphrasen und versteckte Wallets
• OneKey: Hardware-Wallets mit Sparrow für BTC-Multisig verwenden
• OneKey auf X: OneKey-Geräte sind vom COLDCARD-RNG-Problem nicht betroffen

Risikohinweis

Dieser Artikel dient ausschließlich der allgemeinen Sicherheitsaufklärung und stellt keine Finanz-, Rechts-, forensische oder individuelle Migrationsberatung dar. Bitcoin-Transaktionen sind üblicherweise unumkehrbar. Eine falsche Adresse, verlorene Sicherung, fehlerhafte Passphrase, ein bösartiger Host oder eine unvollständige Multisig-Konfiguration kann zu dauerhaftem Verlust führen. Prüfen Sie vor jeder Handlung die neuesten offiziellen Unterlagen von OneKey und Coinkite. Verlangt jemand die Eingabe Ihrer Wiederherstellungsphrase auf einer Website, in einem Chat, per Fernzugriff oder in nicht verifizierter Software, brechen Sie sofort ab.