Ist Cake Wallet sicher?
Cake Wallet ist eine seriöse Open-Source-Wallet in Selbstverwahrung, die seit 2018 betrieben wird, und für die meisten Nutzer sicher, wenn sie aus einer offiziellen Quelle installiert und richtig gesichert ist. Der schlimmste Vorfall waren schwache Bitcoin-Seeds aus Versionen von 2020–2021, die Cake im Mai 2021 offenlegte. Die meisten tatsächlichen Verluste entstehen durch gefälschte Apps, Phishing und weitergegebene Seeds, nicht durch die App selbst.
„Sicher“ hat bei einer Wallet in Selbstverwahrung zwei Seiten: ob die Software deine Schlüssel schützt und ob du den Betrugsmaschen rundherum ausweichen kannst. Diese Seite behandelt beides, mit Daten, Stand Oktober 2026.
Die kurze Antwort
- Seriös: ja. Cake Wallet stammt von Cake Labs, ist seit 2018 im App Store und veröffentlicht seinen Code auf GitHub unter der MIT-Lizenz.
- Deine Schlüssel bleiben bei dir: On-Chain-Coins sind nicht verwahrt. Cake kann dein Guthaben weder einfrieren noch zurückbuchen oder wiederherstellen.
- Nicht fehlerfrei: Es gab eine schwere Schwachstelle (schwache Bitcoin-Seeds 2020–2021), ein mittelschweres Advisory 2026, und die Builds lassen sich nicht unabhängig reproduzieren.
- Größtes Risiko: Menschen, nicht Code. Gefälschte Apps, falscher Support und Seed-Diebstahl machen den Großteil der Verluste aus, über die wir lesen.
Sicherheitsfaktoren
| Faktor | Status (Oktober 2026) |
|---|---|
| Verwahrung | Nicht verwahrend für On-Chain-Coins; Schlüssel werden auf deinem Gerät erzeugt und gespeichert |
| Quellcode | Öffentlich auf GitHub, MIT-Lizenz |
| Reproduzierbare Builds | Nein; laut Cake sind die Builds noch nicht reproduzierbar |
| Signierte Releases | Im September 2026 veröffentlichte Cake einen Release-Schlüssel zum Signieren von Prüfsummendateien und Release-Tags; Releases ohne signierte Prüfsummendatei nennen SHA-256-Hashes in den Release Notes |
| Unabhängiges Audit | Keines der App gefunden |
| Meldung von Schwachstellen | Sicherheitsrichtlinie mit privatem GitHub-Advisory-Kanal und verschlüsselter E-Mail-Adresse |
| Konto oder KYC | Keines für die Wallet |
| Datenerhebung | App-Store-Label sagt „Data Not Collected“ (Keine Daten erfasst; Selbstauskunft des Entwicklers) |
| App-Schutz | PIN, Biometrie, optionales Cake 2FA, Duress-PIN |
Die schwachen Bitcoin-Seeds von 2020–2021
Das ist der wichtigste Vorfall. Cake Wallet Versionen aus 2020 und Anfang 2021 erzeugten Bitcoin-Wallets mit einem unsicheren Zufallszahlengenerator. Betroffen sind 12-Wörter-Bitcoin-Seeds im Electrum-Stil („Segwit“). Forscher schätzen, dass die tatsächliche Zufälligkeit so gering war, dass ein Angreifer die Schlüssel rekonstruieren kann.
| Datum | Ereignis |
|---|---|
| 10. Mai 2021 | Version 4.1.7 ändert die Erzeugung von Bitcoin-Seeds |
| 11. Mai 2021 | Version 4.2.0 fügt ein Banner in der App hinzu, das Nutzer auffordert, Wallets neu zu erstellen; im Mai 2021 legt Cake das Problem öffentlich offen und fordert Nutzer auf, neue Wallets zu erstellen und Guthaben zu verschieben |
| Dezember 2023 | Cake ergänzt eine Warnung in der App für Nutzer, die noch einen bekannten schwachen Seed verwenden (Code am 18. Dezember 2023 gemergt, ausgeliefert etwa mit Version 4.12.0), auf Basis von Daten zu mehr als 8.700 Wallets von den Milk-Sad-Forschern |
| Mai 2024 | Das Milk-Sad-Team veröffentlicht eine technische Analyse |
| Ab 21. Mai 2024 | Forscher stufen größere ausgehende Transaktionen aus schwachen Wallets als überwiegend bösartig ein |
Die Forscher zählten 8.757 schwache Wallets und etwa 548,9 BTC, die zwischen November 2020 und Oktober 2024 durch sie geflossen sind; nicht alles davon wurde gestohlen, und eine Gesamtschadenssumme wurde nicht veröffentlicht (Milk Sad Research-Update, 2024). Monero, Litecoin und andere Coins waren nach bisherigem Kenntnisstand nicht betroffen.
Was zu tun ist: Wenn du einen 12-Wörter-Bitcoin-Seed hast, der 2020 oder Anfang 2021 in Cake Wallet erstellt wurde, oder einen solchen Seed in eine andere Wallet importiert hast, betrachte ihn als kompromittiert. Erstelle mit einer aktuellen Version eine neue Wallet und verschiebe verbleibendes Guthaben sofort. Unser Seed-Typ-Checker hilft dir, den Seed-Typ allein anhand der Wortanzahl zu bestimmen. Gib die Wörter selbst niemals auf einer Website ein.
Was Open Source beweist und was nicht
Open-Source-Code erlaubt jedem nachzulesen, wie Cake Wallet Schlüssel erzeugt, mit Nodes kommuniziert und Transaktionen baut. So konnten externe Forscher die Seed-Schwachstelle von 2021 im Detail untersuchen, und Änderungen am Code passieren öffentlich auf GitHub.
Es beweist nicht, dass die App im Store aus diesem Code gebaut wurde. Laut Cake sind die Builds noch nicht reproduzierbar, du kannst den Code also nicht selbst kompilieren und eine identische Datei zum Vergleich erhalten (Cake Wallet VERIFY.md, 2026). Prüfen kannst du, ob ein Download echt ist: Im September 2026 veröffentlichte Cake einen Release-Schlüssel zum Signieren der Prüfsummendateien und Tags neuer Releases, jedes Release nennt SHA-256-Hashes, und Android-APKs von GitHub, Accrescent und Cakes F-Droid-Repository teilen sich ein Signaturzertifikat. Unsere Download-Anleitung zeigt, wie du beides prüfst.
Außerdem haben wir bis Oktober 2026 kein veröffentlichtes unabhängiges Sicherheitsaudit der Cake Wallet App gefunden. Cake betreibt aber eine Richtlinie zur Meldung von Schwachstellen: Forscher können Probleme vertraulich über GitHub oder per verschlüsselter E-Mail melden, und Cake veröffentlicht Advisories, sobald Korrekturen ausgeliefert sind.
Weitere Advisories
Am 4. September 2026 veröffentlichte Cake das GitHub-Advisory GHSA-695v-fhpj-fv8x, eingestuft als mittelschwer. In den Versionen 6.1.2 bis 6.3.0 konnte eine Zahlungsanforderung im Ethereum-Stil im falschen EVM-Netzwerk vorbereitet werden, weil die Chain-ID verloren ging. Das Risiko war eine fehlgeschlagene oder fehlgeleitete Zahlung, kein Schlüsseldiebstahl, und es wurde in 6.4.4 behoben. Aktualisiere auf die neueste Version. Die vollständige Liste der Vorfälle steht auf unserer Seite zur Sicherheitshistorie.
Die Lightning-Frage
Lightning, eingeführt mit Version 6.0 (Februar 2026), läuft im Spark-Netzwerk über das Breez SDK. Cake beschreibt es als selbstverwahrend, ohne Kanäle, die man verwalten muss. Die Doku sagt aber auch, dass Spark-Transfers von einer kleinen, zugangsbeschränkten Gruppe von Betreibern mitsigniert werden, die Beträge und Adressen sehen können (Cake Wallet Doku, 2026).
Am 6. Oktober 2026 stufte WalletScrutiny Cake Wallet als „Custodial“ (verwahrend) ein, weil die App laut dieser Analyse keinen Weg bietet, ein Lightning-Guthaben ohne die Betreiber zurück on-chain zu bringen. Das ist ein Urteil nur über das Lightning-Guthaben; es betrifft weder Monero noch On-Chain-Bitcoin oder andere Coins. Ein vorsichtiger Ansatz ist, in Lightning nur Ausgabegeld zu halten. Siehe Lightning in Cake Wallet.
Privatsphäre versus Sicherheit
Cake Wallet verbindet sich standardmäßig mit Cakes eigenen Nodes und Diensten. Das ist bequem, aber diese Dienste können deine IP-Adresse sehen und welche Wallet-Daten du abfragst. Für mehr Privatsphäre nutze deinen eigenen Node oder Tor. Eine Einschränkung: Wenn dein eigener Bitcoin-Server bei Silent Payments den nötigen Index nicht hat, greift die App laut Cakes Doku auf einen Cake-Server zurück. Details unter Privatsphäre und Tor und eigene Nodes.
Wo Verluste wirklich entstehen
- Gefälschte Apps und geklonte Websites, die nach deinem Seed fragen. Installiere nur aus den offiziellen Quellen in unserer Download-Anleitung und prüfe Links mit dem Download-Checker.
- Falscher Support. Laut Cake Wallet fragt der Support nie nach deinem Seed, und wer dich zuerst anschreibt und Support anbietet, ist fast immer ein Betrüger (Cake Wallet Doku, 2026).
- Online gespeicherter Seed in Screenshots, Notiz-Apps, Cloud-Speichern oder E-Mails.
- Falsche Adresse oder falsches Netzwerk. Transaktionen lassen sich nicht rückgängig machen. Nutze den Adress-Checker und sende zuerst einen kleinen Testbetrag.
- „Recovery“-Dienste, die versprechen, gestohlene Kryptowährung zurückzuholen. Das ist Betrug.
Weitere Warnsignale unter gefälschte Cake Wallet Apps und Betrug.
Sicherheits-Checkliste
- Installiere aus dem App Store, von Google Play, Accrescent, Cakes F-Droid-Repository oder GitHub, erreicht über selbst eingetipptes cakewallet.com.
- Halte die App aktuell.
- Schreib jeden Seed auf Papier und bewahre ihn offline auf. Notiere bei einem 25-Wörter-Monero-Seed auch die Restore Height. Siehe Seed-Sicherung.
- Lege eine starke PIN fest; erwäge Cake 2FA. Cake weist darauf hin, dass 2FA gegen jemanden mit deinem Handy hilft, nicht gegen jemanden mit deinem Seed.
- Nutze für größere Beträge eine Hardware-Wallet oder Cupcake. Siehe Ledger und Trezor.
- Ersetze jede alte Cake-Bitcoin-Wallet mit einem 12-Wörter-Electrum-Seed aus 2020–2021.
- Gib deinen Seed niemals weiter und ignoriere jeden, der dich zuerst kontaktiert.
Wenn du glaubst, dass deine Wallet kompromittiert ist
Cake rät, sofort für jeden betroffenen Coin eine neue Wallet zu erstellen und verbleibendes Guthaben dorthin zu verschieben, die alte Wallet nicht mehr zu nutzen, alles zu dokumentieren und den Diebstahl bei der Polizei und dem Cake Support zu melden (Cake Wallet Doku, 2026). Monero-Wallets brauchen für einen Angreifer länger zum Synchronisieren, was dir ein kurzes Zeitfenster zum Handeln geben kann. Schicke „Recovery“-Helfern niemals weiteres Geld.
Häufig gestellte Fragen
Ist Cake Wallet seriös?
Ja. Es ist eine echte Open-Source-Wallet von Cake Labs, seit 2018 im App Store verfügbar. Es gibt gefälschte Kopien, installiere daher nur aus offiziellen Quellen.
Wurde Cake Wallet gehackt?
Wir haben keinen Einbruch in Cakes eigene Systeme gefunden, bei dem Nutzerguthaben offengelegt wurde. Das ernste Problem waren schwache Bitcoin-Seeds aus Versionen von 2020–2021, und Forscher stufen größere ausgehende Transaktionen aus diesen Wallets seit dem 21. Mai 2024 als überwiegend bösartig ein, sofern Nutzer ihr Guthaben nie verschoben hatten.
Kann Cake Wallet mein Guthaben sehen oder einfrieren?
Nein, nicht bei On-Chain-Coins. Cake kann Transaktionen weder einfrieren noch rückgängig machen oder zurückholen. Cakes Server können deine IP-Adresse sehen, sofern du nicht Tor oder deinen eigenen Node nutzt.
Ist Cake Wallet für große Beträge sicher?
Kombiniere sie für größere Summen mit einem Ledger oder Trezor oder nutze Cupcake als Offline-Signiergerät und bewahre die Seed-Sicherung offline auf.
Schreibt dich der Cake Wallet Support jemals zuerst an?
Laut Cake Wallet ist jeder, der dich zuerst anschreibt und angeblich Support anbietet, fast immer ein Betrüger, und der Support fragt nie nach deinem Seed.
Ist mein Monero-Guthaben von der Seed-Schwachstelle 2021 betroffen?
Nein. Die Schwachstelle betraf 12-Wörter-Bitcoin-Seeds im Electrum-Stil, die 2020 und Anfang 2021 erstellt wurden, keine Monero-Seeds.