Miljoen-hack Coldcard: softwarefout liet 7.300 gebruikers beroven

Een programmafout in hardware wallet Coldcard heeft er voor gezorgd dat duizenden gebruikers hun bitcoin kwijtraakten. Onderzoeken wijzen uit dat minstens 1.596 bitcoin, ter waarde van ruim 100 miljoen dollar, is gestolen door ongeveer 15 verschillende aanvallers. Het slachtoffer Jonathan Goodman verloor 18,25 bitcoin – toen ongeveer 1,17 miljoen dollar waard – ondanks dat hij alle voorzorgsmaatregelen trof.

Fout in willekeurigheid

De oorzaak lag niet in de hardware zelf, maar in hoe Coldcard de geheime code (seed phrase) genereerde die toegang tot de portefeuilles beveiligt. Een configuratiefout zorgde ervoor dat het apparaat een zwakkere softwaregenerator gebruikte in plaats van een beveiligd hardwaregenerator. Dit werd in maart 2021 ingevoerd en bleef jarenlang onopgemerkt.

De foute code genereerde slechts 72 bits willekeurigheid in plaats van de beoogde 128 bits. Dit maakte het mogelijk voor criminelen om alle mogelijke combinaties door te rekenen – een taak die normaal onmogelijk zou zijn.

Open source faalde

Hoewel Coldcard's broncode openbaar was en gebruikers deze konden controleren, gebeurde dat niet grondig genoeg. De defecte generator zat verstopt in een bibliotheek genaamd libngu, die in 2021 werd toegevoegd. Zelfs AI-modellen misten de fout bij latere controles.

Developer James O'Beirne ontdekte het probleem en waarschuwde Coinkite, de maker van Coldcard, in mei 2025. Het bedrijf reageerde sceptisch, stellende dat een echt probleem al eerder was gespot.

Wat nu?

Coinkite heeft vervangen firmware uitgebracht voor alle getroffen modellen. Gebruikers moeten handmatig een nieuwe seed genereren en hun bitcoin verplaatsen naar nieuwe adressen. Het oude geld blijft verloren.

De hack bewijst dat zelfbeheer van crypto niet alleen afhangt van je eigen voorzichtigheid, maar ook van het vertrouwen in de fabrikant van je wallet.