De cryptowereld wordt geschokt door een massale hack op Coldcard-wallets waarbij miljoenen euro’s in Bitcoin zijn gestolen. Experts waarschuwen gebruikers om hun tegoeden zo snel mogelijk te verplaatsen. De aanval, die al sinds 2026 mogelijk was, is pas nu op grote schaal uitgevoerd, wat vragen oproept over de veiligheid van self-custody.
De kwetsbaarheid zit in de firmware van bepaalde Coldcard-modellen, die een seed genereren met onvoldoende willekeurigheid. Dit maakt het mogelijk voor aanvallers om de herstelzinnen te raden en wallets leeg te halen. Volgens onderzoekers is al meer dan 78,3 miljoen euro aan bitcoin gestolen.
De achtergrond van de aanval
De eerste aanval werd gemeld op een donderdag, maar de schade loopt nog steeds op. Alex Thorn, hoofdonderzoeker bij Galaxy, waarschuwt voor een mogelijke vierde golf van aanvallen. De kwetsbaarheid zit in de manier waarop de herstelzinnen worden gegenereerd, wat resulteert in te zwakke seeds.
De aanvallers hoeven geen toegang te hebben tot de fysieke wallet. Door de zwakke willekeurigheid kunnen ze op afstand mogelijke herstelzinnen berekenen en vervolgens kijken of deze wallets bitcoin bevatten. Dit maakt de aanval extra gevaarlijk, omdat gebruikers mogelijk niet eens merken dat hun wallet is gehackt totdat het te laat is.
Reacties uit de cryptogemeenschap
Peter Todd, een vroege Bitcoin-ontwikkelaar, reageerde op het nieuws door te benadrukken dat self-custody niet risicoloos is, maar dat het een beter trackrecord heeft dan derde partijen. Hij erkent wel dat er zwakke plekken zijn, zoals slecht gegenereerde woorden, brand, diefstal of pech. Volgens hem blijft self-custody echter vrij makkelijk als gebruikers het eenvoudig houden en redelijke gewoonten volgen.
Jan Slagter, een Nederlandse crypto-expert, waarschuwt gebruikers van de Coldcard-wallet om hun bitcoin zo snel mogelijk te verplaatsen naar een andere, veilige plek. Hij benadrukt het belang van actie om verdere verliezen te voorkomen.
Wat kunnen gebruikers doen?
Coinkite, de fabrikant van Coldcard, heeft nieuwe software uitgebracht om het probleem te verhelpen. Echter, een update alleen is niet genoeg. Gebruikers moeten eerst de officiële update installeren en daarna een volledig nieuwe herstelzin maken. Vervolgens moeten zij hun bitcoin naar een adres van de nieuwe wallet sturen.
Het is ook belangrijk om voorzichtig te zijn met onverwachte mails of berichten. Klik niet op links en deel je herstelwoorden nooit met iemand die beweert namens Coldcard te werken. Download nieuwe software alleen via de officiële kanalen van de fabrikant en controleer het ontvangstadres meerdere keren voordat je grote bedragen verstuurt.
Voor veel investeerders kan zelf bewaren van bitcoin te ingewikkeld zijn. Zij kunnen hun vertrouwen leggen bij een partij zoals BLOX, die met beveiligingsexperts werken om crypto veilig te bewaren. Dit levert misschien iets minder vrijheid op, maar wel veel gemak.
