Coldcard hack jaagt 15 miljard dollar aan Bitcoin op de vlucht

De Coldcard hack is uitgelopen op de grootste aanval op hardwarewallets in jaren, maar het echte verhaal speelde zich buiten beeld af. Terwijl aanvallers sinds eind juli de ene na de andere wallet leegtrokken, bracht de rest van de markt een veelvoud van die Bitcoin-buit in veiligheid.

En dat zegt volgens sommigen meer over bitcoin dan de diefstal zelf.

Coldcard hack drijft bitcoin naar veiligheid

De aanvallers hadden het gemunt op een apparaatje van het Canadese Coinkite dat Bitcoinsleutels offline bewaart. Door een fout in de software waren die sleutels sinds 30 juli te raden.

Terwijl zij adres na adres leeghaalden, kwam de rest van de markt in beweging. In de dagen rond de aanval verlieten 233.000 Bitcoin de wallets van langetermijnhouders. Zulke munten liggen al minstens 155 dagen stil en gelden in de markt als het koelbloedige geld.

Bij de huidige koers gaat het om zo’n 15 miljard dollar, blijkt uit gegevens van analysebureau Checkonchain. Er volgden meerdere aanvalsgolven en de buit van de aanvallers bleef steken op ongeveer 2.100 BTC.

Daarmee zocht ruim 110 keer zoveel Bitcoin een nieuw onderdak als er werd gestolen. Volgens analyseplatform Glassnode leidde dat tot de grootste daling van het aanbod van langetermijnhouders sinds december 2024. Deze overtuigde investeerders bezitten nu samen ongeveer 14,7 miljoen BTC.

De meeste munten belandden in een nieuwe wallet van dezelfde eigenaar. Dat oogt in de cijfers als een uittocht, terwijl er alleen een ander slot op de deur ging.

“Ik denk niet dat mensen de omvang doorhebben van de muntbeweging als gevolg van de Coldcard hack,” zo schreef analist James van Straten. Hij zei dat het een vergelijkbare verhuizing is geweest als na de dramatische ondergang van cryptobeurs FTX in 2022.

Nick Neuman, topman van bewaarbedrijf Casa, ziet daarin het bewijs dat zelfbeheer werkt.

“De onchain-cijfers rond het Coldcard-incident onderstrepen hoe belangrijk zelfbeheer is voor de veerkracht van Bitcoin als beleggingscategorie”, schreef hij op X.

Het verschil met een gehackte handelsbeurs is groot. Daar ligt het bezit van alle klanten op één plek, dus verdwijnt bij een inbraak alles in één klap. Hier moest de aanvaller elk adres apart kraken, en dat gaf de rest van de markt tijd om te reageren.

“Als al die BTC bij een bewaarder had gelegen en die bewaarder was gehackt, dan waren die cijfers omgedraaid”, schreef Neuman.

Een slot dat te raden viel

Het probleem sluimerde al sinds maart 2021. Een fout in de firmware liet de Coldcard zijn sleutels aanmaken via een softwaregenerator, in plaats van de speciale chip die het apparaat daarvoor aan boord heeft.

Daardoor werd de willekeur een stuk minder willekeurig. De beveiliging zakte van 128 bits naar ongeveer 40, waardoor de geheime sleutels met genoeg rekenkracht gewoon te raden waren.

Een update lost dat niet op, want een sleutel die zwak is aangemaakt blijft zwak. Coinkite roept daarom iedereen die een seed aanmaakte op firmware 4.0.1 tot en met 4.1.9, de woordenreeks waarmee je een wallet herstelt, op om die wallet als verloren te beschouwen.

De meeste munten verhuisden daarom naar een verse wallet van dezelfde eigenaar. Een deel ging naar multisig, waarbij meerdere sleutels een transactie moeten goedkeuren en één kapot apparaat dus niet genoeg is.

En het bleef niet bij Coldcard-bezitters. Volgens Casa kwamen ook eigenaren van een Ledger of Trezor in actie, twee bekende merken die helemaal niet getroffen waren. Zij namen het zekere voor het onzekere nadat een groep beveiligingsonderzoekers ook nog duizenden andere kwetsbaarheden hadden ontdekt in open source Bitcoin-projecten.

Toch ziet niet iedereen daar een geruststelling in. Lorenzo Valente, onderzoeksdirecteur digitale activa bij ARK Invest, noemde de sector van hardwarewallets eerder een puinhoop. Wie zijn sleutels zelf bewaart ruilt volgens hem het ene risico simpelweg in voor het andere.