Hackers kraken populaire Bitcoin hardware wallet, $86 miljoen gestolen

Een ernstige beveiligingsfout in de populaire Coldcard hardware-wallet heeft geleid tot een van de grootste hacks van hardware wallets in jaren. Door een kwetsbaarheid in de software konden aanvallers inmiddels meer dan 1.367 Bitcoin, ter waarde van ongeveer 86 miljoen dollar, stelen.

De aanval treft duizenden gebruikers die hun Bitcoin bewust offline hadden opgeslagen. Wat juist de veiligste manier van bewaren moest zijn, blijkt voor een deel van hen nu een kostbare nachtmerrie.

Kwetsbaarheid in populaire Bitcoin-wallet

Coldcard, ontwikkeld door het Canadese Coinkite, geldt als een van de populairste hardware-wallets voor Bitcoin. Zogeheten cold wallets worden beschouwd als de veiligste manier om cryptovaluta op te slaan, omdat ze offline blijven en daardoor niet rechtstreeks via internet kunnen worden aangevallen.

De kwetsbaarheid zat echter in de software die de seed phrase van de wallet genereert. Een seed phrase is een reeks herstelwoorden waarmee gebruikers altijd toegang tot hun wallet kunnen terugkrijgen. Onderzoekers van Block Inc. ontdekten dat de willekeurige nummergenerator in bepaalde softwareversies onvoldoende willekeurig was.

In plaats van volledig willekeurige waarden gebruikte de software deels voorspelbare gegevens, zoals serienummers van apparaten, om cryptografische sleutels te maken. Daardoor konden aanvallers in sommige gevallen de seed phrase reconstrueren en volledige toegang krijgen tot de wallet.

Coinkite heeft bevestigd dat wallets die met de kwetsbare software zijn aangemaakt risico lopen. Het bedrijf heeft inmiddels een firmware-update uitgebracht die het beveiligingslek dicht. Gebruikers van getroffen apparaten wordt aangeraden hun wallet zo snel mogelijk te migreren naar een nieuwe seed phrase die met de bijgewerkte software is aangemaakt.

Duizenden wallets getroffen

Volgens Galaxy Research zijn inmiddels meer dan 4.500 wallets getroffen. Vrijdag werd de totale schade nog geschat op ongeveer 38 miljoen dollar, maar dat bedrag liep in de dagen daarna snel op tot circa 86 miljoen dollar.

Een van de slachtoffers vertelde dat hij aanvankelijk dacht dat zijn wallet niet was getroffen. Toen hij zijn saldo controleerde, zag hij echter meerdere uitgaande transacties verschijnen. Binnen enkele minuten was zijn volledige Bitcoin-bezit verdwenen.

Volgens cybersecurity-experts laat de aanval zien dat ook hardware-wallets niet volledig risicovrij zijn. Hoewel deze apparaten offline worden bewaard en daardoor veel beter beschermd zijn tegen traditionele hacks, blijft de veiligheid uiteindelijk afhankelijk van de software die de cryptografische sleutels aanmaakt. Als daarin een kwetsbaarheid zit, kunnen aanvallers zelfs zonder internetverbinding toegang krijgen tot de tegoeden.

Zelfbeheer blijft risico’s houden

De hack zet opnieuw de discussie over zelfbeheer van crypto op scherp. Veel beleggers kiezen bewust voor een hardware-wallet om hun Bitcoin buiten het bereik van beurzen en online hackers te houden.

Volgens onderzoeksbureau TRM Labs is in de eerste helft van 2026 voor 972 miljoen dollar aan cryptovaluta gestolen. Dat is minder dan de 2,3 miljard dollar in dezelfde periode een jaar eerder. Wel steeg het aantal hacks naar 207, het hoogste aantal ooit gemeten in een periode van zes maanden.

Volgens TRM Labs zijn aanvallen op infrastructuur en privésleutels verantwoordelijk voor slechts ongeveer 15 procent van alle incidenten, maar wel voor ruim driekwart van de totale schade. De Coldcard-aanval laat volgens onderzoekers zien dat zelfbeheer de risico’s niet wegneemt, maar vooral verschuift.