Coldcard-hack kost gebruikers bijna 114 miljoen dollar; massale Bitcoin-transfers

Een beveiligingsfout in Coldcard-hardwarewallets heeft tot nu toe ongeveer 1.816 bitcoin (ruim 113 miljoen dollar) gekost. Onderzoeken suggereren dat een vierde golf van diefstal aan de gang is, nadat eerder al 1.367 bitcoin van gebruikers werden gestolen.

Massale verplaatsing naar veiligheid

Op 31 juli verplaatsten bitcoinhouders 39.600 bitcoin in kleine hoeveelheden – meer dan ooit sinds het faillissement van FTX in november 2022. Het aantal actieve adressen steeg van 645.000 naar bijna een miljoen, het hoogste aantal sinds december 2024. Gebruikers verplaatsten hun munten vooral naar beveiligde locaties, niet om ze te verkopen: de bitcoinprijs daalde slechts 0,7% ondanks miljarden dollars aan inkomende transacties op beurzen.

Jaren durende beveiligingsfout

De fout dateert uit maart 2021. Een programmafout in de firmware zorgde ervoor dat seed phrases – de sleutels tot bitcoinwallets – uit een veel te klein aantal mogelijkheden werden gegenereerd. Dit maakte ze gissen voor aanvallers. Coldcard's modellen Mk4, Mk5 en Q werden aangetast, ondanks certificering van beveiligde componenten.

Waarschuwing voor industrie

Kraken's beveiligingschef Nick Percoco noemde het incident een 'wake-up call' voor de hardware-walletindustrie. Hij pleit voor onafhankelijke validatie van willekeurige getallenreeksen, gebonden aan specifieke softwareversies en openbaar geregistreerd – vergelijkbaar met normen voor betaalterminals. Coinkite, het bedrijf achter Coldcard, bracht een hotfix uit die voorkómt dat verkeerde sleutelgeneratoren worden gebruikt.