Coldcard-hack loopt op tot 112 miljoen dollar, einde nog niet in zicht

De diefstal van bitcoins via kwetsbare Coldcard-wallets groeit uit tot een miljoenendrama. Onderzoeksbureau Galaxy Research heeft vastgesteld dat criminelen inmiddels ruim 1.778 bitcoin hebben gestolen—omgerekend zo'n 112 miljoen dollar. De schadecijfers kunnen nog verder oplopen.

Systematische aanval sinds juli

De aanvallen begonnen op 30 juli en verlopen volgens een patroon. Criminelen misbruiken een fout in de zaadfunctie van Coldcard-apparaten. Een softwareupdate uit 2021 zorgde ervoor dat sleuttelgeneratie minder willekeurig werd, waardoor hackers seedcodes konden reconstrueren zonder dat ze bezit van de portemonnee hoeven te hebben. Met alleen het serienummer en de klokstand kunnen zij bitcoins weghalers.

Voornaamste golven in kaart gebracht

Galaxy onderscheidt meerdere aanvalsgolven. De eerste en grootste slag kostte gebruikers 1.082 bitcoin—70,5 miljoen dollar destijds. Een andere cluster, aangeduid als 'Footprint E', verdween ruim 209 bitcoin van 2.148 adressen. In totaal zijn meer dan 5.200 portemonnees geplunderd.

Activiteit stopt na 6 augustus

Een opvallende bevinding: geen bewijzen van verdere aanvallen na 6 augustus. Dat duidt waarschijnlijk niet op het einde van de kwetsbaarheid zelf, maar eerder op uitputting van makkelijke doelwitten. Galaxy spreekt met eigen onderzoek van 190 slachtoffers en adviseert alle eigenaren van single-signature Coldcards om hun geld naar nieuwe adressen te verplaatsen.

Onzekere eindscore

Het echte totaal kan nog hoger liggen. Galaxy ziet aanwijzingen voor een vierde golf van 638 bitcoin die nog niet bevestigd is. Dat zou het totale bedrag op ruim 151 miljoen dollar brengen.