Coldcard brengt veiligheidsupdates uit na diefstal van 130 miljoen dollar bitcoin

Hardwarewalletfabrikant Coinkite heeft een beveiligingsupdate uitgebracht voor Coldcard-apparaten, nadat een ontwerpfout in de seedgeneratie leidde tot het stelen van meer dan 130 miljoen dollar aan bitcoin. Gebruikers worden dringend verzocht hun firmware bij te werken naar versie 5.6.1 of 1.5.1Q.

De beveiligingslek

De fout dateert uit 2021 en zorgde ervoor dat bepaalde walletseeds met onvoldoende willekeurigheid werden gegenereerd. Dit maakte privésleutels gemakkelijker te achterhalen. In juli begonnen aanvallers bitcoin uit offline Coldcard-wallets weg te halen. Een eerste aanval kostte 594 bitcoin (ongeveer 38 miljoen dollar) van zo'n 500 gebruikers in slechts 25 minuten.

Uiteindelijk werden tussen juli en augustus minstens 1.778 bitcoin gestolen verspreid over meerdere aanvallen. Onderzoeksbureau Galaxy Research stelde vast dat de aanvallen waarschijnlijk waren geprogrammeerd en mogelijk uitgevoerd met behulp van kunstmatige intelligentie.

Nieuwe maatregelen

De update vereist dat gebruikers nu handmatig willekeurigheid toevoegen bij het genereren van een nieuw seed. Dit kan via minstens 65 toetsaanslagen, 50 dobbelsteenwörpen of 128 muntflips. De apparaat combineert deze invoer met eigen willekeurigheid.

Coinkite versterkte ook andere beveiligingsfuncties: transactiesignering wordt nu rechtstreeks geverifieerd, USB-communicatie is beveiligd en walletback-ups zijn aangepast.

Acties voor gebruikers

Gebruikers die tussen 2021 en juli 2026 seeds hebben gegenereerd op getroffen versies, moeten een nieuw seed aanmaken met de bijgewerkte firmware en hun bitcoin verplaatsen. Coinkite zegt samen met wetshandhavers de zaak te onderzoeken.