Hack Coldcard: 130 milionů dolarů v krádeži, vyprázdněno přes 7 700 peněženek – kompletní analýza
Chyba v entropii firmwaru z března 2021 umožnila útočníkům na dálku rekonstruovat seed fráze Coldcard, což vedlo k vykradení 2 055 BTC (130 milionů USD) z více než 7 700 peněženek ve čtyřech vlnách útoků od 30. Coinkite vydala opravený firmware do 24 hodin, ale varovala, že staré seed fráze zůstávají trvale kompromi...
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
Chyba v entropii firmwaru z března 2021 umožnila útočníkům na dálku rekonstruovat seed fráze Coldcard, což vedlo k vykradení 2 055 BTC (130 milionů USD) z více než 7 700 peněženek ve čtyřech vlnách útoků od 30.
Coinkite vydala opravený firmware do 24 hodin, ale varovala, že staré seed fráze zůstávají trvale kompromitované – postižení uživatelé musí vytvořit zcela nové peněženky a přesunout prostředky.
Hack zbořil předpoklad, že hardwarové peněženky jsou imunní vůči dálkové krádeži seed frází, a vyvolal širší průmyslový posun směrem k auditu firmwaru pomocí AI a přísnějšímu ověřování entropie.
What are the key details of the Coldcard hardware wallet hack, including how the firmware vulnerability was exploited, the scale and timelinThe Coldcard Mk3 hardware wallet, whose firmware entropy bug enabled the largest hardware wallet hack on record.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What are the key details of the Coldcard hardware wallet hack, including how the firmware vulnerability was exploited, the scale and timelin. Article summary: Here is a complete breakdown of the Coldcard hardware wallet hack as of August 8, 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidenc
openai.com
Exploit hardwarové peněženky Coldcard je největším doloženým kompromitováním hardwarové peněženky v historii, přičemž ztráty nyní přesahují 130 milionů dolarů a postihly více než 7 700 bitcoinových adres. K 8. srpnu 2026 útočník přesunul jen nepatrný zlomek ukradené kořisti – ale to se právě změnilo. Zde je vše, co potřebujete vědět o zranitelnosti, časové ose útoku a co bude následovat.
Jak exploit fungoval: pět let stará chyba ve firmwaru
Hlavní příčinou byla chyba v entropii generování seed frází, která byla zavedena ve verzi firmwaru Coldcard 4.0.1, vydané v březnu 2021 . Jediná změna kódu – build flag – způsobila, že postižená zařízení obešla svůj dedikovaný hardwarový generátor náhodných čísel (RNG) na čipu STM32 během vytváření seed fráze . Místo produkce 128 bitů skutečné náhodnosti firmware přešel na deterministický softwarový pseudonáhodný generátor, čímž se efektivní entropie na starších zařízeních snížila až na 40 bitů .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Hack Coldcard: 130 milionů dolarů v krádeži, vyprázdněno přes 7 700 peněženek – kompletní analýza"?
Chyba v entropii firmwaru z března 2021 umožnila útočníkům na dálku rekonstruovat seed fráze Coldcard, což vedlo k vykradení 2 055 BTC (130 milionů USD) z více než 7 700 peněženek ve čtyřech vlnách útoků od 30.
What are the key points to validate first?
Chyba v entropii firmwaru z března 2021 umožnila útočníkům na dálku rekonstruovat seed fráze Coldcard, což vedlo k vykradení 2 055 BTC (130 milionů USD) z více než 7 700 peněženek ve čtyřech vlnách útoků od 30. Coinkite vydala opravený firmware do 24 hodin, ale varovala, že staré seed fráze zůstávají trvale kompromitované – postižení uživatelé musí vytvořit zcela nové peněženky a přesunout prostředky.
What should I do next in practice?
Hack zbořil předpoklad, že hardwarové peněženky jsou imunní vůči dálkové krádeži seed frází, a vyvolal širší průmyslový posun směrem k auditu firmwaru pomocí AI a přísnějšímu ověřování entropie.
Hack Coldcard: 130 milionů dolarů v krádeži, vyprázdněno přes 7 700 peněženek – kompletní analýza
Chyba v entropii firmwaru z března 2021 umožnila útočníkům na dálku rekonstruovat seed fráze Coldcard, což vedlo k vykradení 2 055 BTC (130 milionů USD) z více než 7 700 peněženek ve čtyřech vlnách útoků od 30. Coinkite vydala opravený firmware do 24 hodin, ale varovala, že staré seed fráze zůstávají trvale kompromi...
PublikovalUpraveno pomocí DeepSeek-V4-FlashObrázky vytvořeny pomocí GPT Image 1.5
Chyba v entropii firmwaru z března 2021 umožnila útočníkům na dálku rekonstruovat seed fráze Coldcard, což vedlo k vykradení 2 055 BTC (130 milionů USD) z více než 7 700 peněženek ve čtyřech vlnách útoků od 30.
Coinkite vydala opravený firmware do 24 hodin, ale varovala, že staré seed fráze zůstávají trvale kompromitované – postižení uživatelé musí vytvořit zcela nové peněženky a přesunout prostředky.
Hack zbořil předpoklad, že hardwarové peněženky jsou imunní vůči dálkové krádeži seed frází, a vyvolal širší průmyslový posun směrem k auditu firmwaru pomocí AI a přísnějšímu ověřování entropie.
What are the key details of the Coldcard hardware wallet hack, including how the firmware vulnerability was exploited, the scale and timelinThe Coldcard Mk3 hardware wallet, whose firmware entropy bug enabled the largest hardware wallet hack on record.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What are the key details of the Coldcard hardware wallet hack, including how the firmware vulnerability was exploited, the scale and timelin. Article summary: Here is a complete breakdown of the Coldcard hardware wallet hack as of August 8, 2026.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidenc
openai.com
Exploit hardwarové peněženky Coldcard je největším doloženým kompromitováním hardwarové peněženky v historii, přičemž ztráty nyní přesahují 130 milionů dolarů a postihly více než 7 700 bitcoinových adres. K 8. srpnu 2026 útočník přesunul jen nepatrný zlomek ukradené kořisti – ale to se právě změnilo. Zde je vše, co potřebujete vědět o zranitelnosti, časové ose útoku a co bude následovat.
Jak exploit fungoval: pět let stará chyba ve firmwaru
Hlavní příčinou byla chyba v entropii generování seed frází, která byla zavedena ve verzi firmwaru Coldcard 4.0.1, vydané v březnu 2021 . Jediná změna kódu – build flag – způsobila, že postižená zařízení obešla svůj dedikovaný hardwarový generátor náhodných čísel (RNG) na čipu STM32 během vytváření seed fráze . Místo produkce 128 bitů skutečné náhodnosti firmware přešel na deterministický softwarový pseudonáhodný generátor, čímž se efektivní entropie na starších zařízeních snížila až na 40 bitů .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Hack Coldcard: 130 milionů dolarů v krádeži, vyprázdněno přes 7 700 peněženek – kompletní analýza"?
Chyba v entropii firmwaru z března 2021 umožnila útočníkům na dálku rekonstruovat seed fráze Coldcard, což vedlo k vykradení 2 055 BTC (130 milionů USD) z více než 7 700 peněženek ve čtyřech vlnách útoků od 30.
What are the key points to validate first?
Chyba v entropii firmwaru z března 2021 umožnila útočníkům na dálku rekonstruovat seed fráze Coldcard, což vedlo k vykradení 2 055 BTC (130 milionů USD) z více než 7 700 peněženek ve čtyřech vlnách útoků od 30. Coinkite vydala opravený firmware do 24 hodin, ale varovala, že staré seed fráze zůstávají trvale kompromitované – postižení uživatelé musí vytvořit zcela nové peněženky a přesunout prostředky.
What should I do next in practice?
Hack zbořil předpoklad, že hardwarové peněženky jsou imunní vůči dálkové krádeži seed frází, a vyvolal širší průmyslový posun směrem k auditu firmwaru pomocí AI a přísnějšímu ověřování entropie.
Útočník nepotřeboval fyzický přístup, phishingové e-maily ani malware. Pomocí reverzního inženýrství oslabeného entropického výstupu dokázali na dálku rekonstruovat seed fráze obětí (12 nebo 24 slov) a vyprázdnit peněženky, které nikdy nebyly připojeny k internetu .
Generální ředitel Coldcardu Rodolfo Novak potvrdil problém 30. července 2026 a naznačil, že zranitelnost mohla být objevena pomocí nástrojů umělé inteligence schopných skenovat open-source firmware pro slabiny v entropii ve velkém měřítku .
Rozsah a časová osa krádeže
Útok se odehrál v několika koordinovaných vlnách:
30. července – první vlna: Během 25minutového útoku, který začal kolem 21:56 ET, útočník vyprázdnil přibližně 594 BTC (~38 milionů USD) z přibližně 500 peněženek, přičemž se zaměřil na největší zůstatky . Chainalysis zjistila, že 30 milionů dolarů bylo ukradeno během prvních 10 minut.
31. července – 4. srpna – druhá a třetí vlna: Další útoky zvýšily ztráty na 1 596 BTC (~100+ milionů USD) napříč zhruba 7 300 adresami .
Podezření na čtvrtou vlnu: Galaxy Research upozornila na možnou čtvrtou vlnu, která by, pokud by byla potvrzena, zvýšila celkový počet na 2 055 BTC (~130 milionů USD) .
Začátkem srpna TRM Labs klasifikovala incident Coldcard jako třetí největší krypto hack roku 2026 . Galaxy Research identifikovala nejméně 15 samostatných útočníků, kteří nyní soupeří o to, kdo dříve zneužije jakékoli nepřesunuté zranitelné peněženky .
Pohyb finančních prostředků 7. srpna: 30,185 BTC (1,94 milionu USD)
srpna 2026 peněženka spojená s hackerem Coldcardu převedla 30,185 BTC (~1,94 milionu USD) na nově vytvořenou adresu, podle on-chain trackeru Lookonchain . Jednalo se o první pohyb ukradených prostředků od začátku exploitů.
Převod představoval zhruba 1,5 % z celkové kořisti 2 055 BTC.
Analytici to interpretovali jako potenciální testovací transakci nebo předběžný krok k většímu výběru peněz .
Cena bitcoinu reagovala jen minimálně, v té době se obchodoval poblíž 64 152 USD .
90 % ukradených prostředků zůstává nedotčeno
Po převodu 7. srpna zůstává přibližně 98,5 % ukradených ~2 055 BTC v peněženkách hackera nedotčeno . Tento vzorec je typický pro sofistikované útočníky, kteří čekají měsíce nebo roky, než se pokusí prát velké sumy. Forenzní firmy a burzy tyto adresy pečlivě sledují .
Reakce Coinkite a aktualizace firmwaru
Společnost Coinkite jednala rychle poté, co 30. července objevila zranitelnost:
30. července – Vydala naléhavé bezpečnostní varování, ve kterém veřejně odhalila chybu .
31. července – Dodala nouzový opravený firmware pro každý postižený model a větev vydání :
Důležité varování: Instalace opraveného firmwaru neopraví již kompromitovanou seed frázi. Coinkite všem postiženým uživatelům nařídila, aby vygenerovali novou seed frázi na opraveném firmwaru a okamžitě přesunuli své mince . Společnost také zničila zbývající zásoby vyrobené se zranitelným firmwarem a zastavila dodávky .
Postižené verze firmwaru
Nejvyšší riziko: Mk3 firmware 4.0.1 až 4.1.9, seed fráze generované bez alespoň 50 nezávislých hodů kostkou nebo silné, unikátní BIP-39 přístupové fráze
Také postiženo: Mk4, Mk5 a Q modely před výše uvedenými opravenými verzemi firmwaru
Není postiženo: Seed fráze generované před oknem zranitelného firmwaru; seed fráze používající 50+ hodů kostkou; seed fráze chráněné unikátní BIP-39 přístupovou frází; zařízení TAPSIGNER, OPENDIME a SATSCARD (odlišné kódové báze); a multisig nastavení s alespoň jedním nezranitelným klíčem
Důsledky pro self-custody a kryptoměnovou komunitu
Hardwarové peněženky nejsou neprůstřelné. Incident Coldcard zničil předpoklad, že offline peněženky jsou imunní vůči dálkové krádeži seed frází . Chyba zůstala ve firmwaru nezjištěna více než pět let.
Seed fráze vygenerované na zranitelném firmwaru jsou trvale kompromitované. I po instalaci opravy zůstávají staré seed fráze uhodnutelné . Uživatelé musí vytvořit zcela nové peněženky a přesunout prostředky.
Širší obavy na trhu. Glassnode oznámila, že v týdnu po hacku bylo z peněženek dlouhodobých držitelů (neaktivních 155+ dní) přesunuto přibližně 210 000 BTC – největší takový přesun od roku 2024 – což naznačuje rozsáhlou ztrátu důvěry mezi držiteli bitcoinů v režimu self-custody .
Audit pomocí AI se zrychluje. Bezpečnostní výzkumníci poznamenali, že útok byl pravděpodobně umožněn nástroji AI, které dokážou skenovat open-source firmware pro slabiny v entropii ve velkém měřítku, což je schopnost nyní rychle přijímaná napříč všemi projekty hardwarových peněženek .
‚Udělal jsem vše správně‘ už nestačí. Mnoho obětí dodržovalo nejlepší postupy self-custody a přesto přišlo o všechno, což zdůrazňuje, že integrita firmwaru je novou hranicí rizika hardwarových peněženek .
crypto.newsColdcard hack: how a build flag drained 116M in bitcoin - Crypto News
Útočník nepotřeboval fyzický přístup, phishingové e-maily ani malware. Pomocí reverzního inženýrství oslabeného entropického výstupu dokázali na dálku rekonstruovat seed fráze obětí (12 nebo 24 slov) a vyprázdnit peněženky, které nikdy nebyly připojeny k internetu .
Generální ředitel Coldcardu Rodolfo Novak potvrdil problém 30. července 2026 a naznačil, že zranitelnost mohla být objevena pomocí nástrojů umělé inteligence schopných skenovat open-source firmware pro slabiny v entropii ve velkém měřítku .
Rozsah a časová osa krádeže
Útok se odehrál v několika koordinovaných vlnách:
30. července – první vlna: Během 25minutového útoku, který začal kolem 21:56 ET, útočník vyprázdnil přibližně 594 BTC (~38 milionů USD) z přibližně 500 peněženek, přičemž se zaměřil na největší zůstatky . Chainalysis zjistila, že 30 milionů dolarů bylo ukradeno během prvních 10 minut.
31. července – 4. srpna – druhá a třetí vlna: Další útoky zvýšily ztráty na 1 596 BTC (~100+ milionů USD) napříč zhruba 7 300 adresami .
Podezření na čtvrtou vlnu: Galaxy Research upozornila na možnou čtvrtou vlnu, která by, pokud by byla potvrzena, zvýšila celkový počet na 2 055 BTC (~130 milionů USD) .
Začátkem srpna TRM Labs klasifikovala incident Coldcard jako třetí největší krypto hack roku 2026 . Galaxy Research identifikovala nejméně 15 samostatných útočníků, kteří nyní soupeří o to, kdo dříve zneužije jakékoli nepřesunuté zranitelné peněženky .
Pohyb finančních prostředků 7. srpna: 30,185 BTC (1,94 milionu USD)
srpna 2026 peněženka spojená s hackerem Coldcardu převedla 30,185 BTC (~1,94 milionu USD) na nově vytvořenou adresu, podle on-chain trackeru Lookonchain . Jednalo se o první pohyb ukradených prostředků od začátku exploitů.
Převod představoval zhruba 1,5 % z celkové kořisti 2 055 BTC.
Analytici to interpretovali jako potenciální testovací transakci nebo předběžný krok k většímu výběru peněz .
Cena bitcoinu reagovala jen minimálně, v té době se obchodoval poblíž 64 152 USD .
90 % ukradených prostředků zůstává nedotčeno
Po převodu 7. srpna zůstává přibližně 98,5 % ukradených ~2 055 BTC v peněženkách hackera nedotčeno . Tento vzorec je typický pro sofistikované útočníky, kteří čekají měsíce nebo roky, než se pokusí prát velké sumy. Forenzní firmy a burzy tyto adresy pečlivě sledují .
Reakce Coinkite a aktualizace firmwaru
Společnost Coinkite jednala rychle poté, co 30. července objevila zranitelnost:
30. července – Vydala naléhavé bezpečnostní varování, ve kterém veřejně odhalila chybu .
31. července – Dodala nouzový opravený firmware pro každý postižený model a větev vydání :
Důležité varování: Instalace opraveného firmwaru neopraví již kompromitovanou seed frázi. Coinkite všem postiženým uživatelům nařídila, aby vygenerovali novou seed frázi na opraveném firmwaru a okamžitě přesunuli své mince . Společnost také zničila zbývající zásoby vyrobené se zranitelným firmwarem a zastavila dodávky .
Postižené verze firmwaru
Nejvyšší riziko: Mk3 firmware 4.0.1 až 4.1.9, seed fráze generované bez alespoň 50 nezávislých hodů kostkou nebo silné, unikátní BIP-39 přístupové fráze
Také postiženo: Mk4, Mk5 a Q modely před výše uvedenými opravenými verzemi firmwaru
Není postiženo: Seed fráze generované před oknem zranitelného firmwaru; seed fráze používající 50+ hodů kostkou; seed fráze chráněné unikátní BIP-39 přístupovou frází; zařízení TAPSIGNER, OPENDIME a SATSCARD (odlišné kódové báze); a multisig nastavení s alespoň jedním nezranitelným klíčem
Důsledky pro self-custody a kryptoměnovou komunitu
Hardwarové peněženky nejsou neprůstřelné. Incident Coldcard zničil předpoklad, že offline peněženky jsou imunní vůči dálkové krádeži seed frází . Chyba zůstala ve firmwaru nezjištěna více než pět let.
Seed fráze vygenerované na zranitelném firmwaru jsou trvale kompromitované. I po instalaci opravy zůstávají staré seed fráze uhodnutelné . Uživatelé musí vytvořit zcela nové peněženky a přesunout prostředky.
Širší obavy na trhu. Glassnode oznámila, že v týdnu po hacku bylo z peněženek dlouhodobých držitelů (neaktivních 155+ dní) přesunuto přibližně 210 000 BTC – největší takový přesun od roku 2024 – což naznačuje rozsáhlou ztrátu důvěry mezi držiteli bitcoinů v režimu self-custody .
Audit pomocí AI se zrychluje. Bezpečnostní výzkumníci poznamenali, že útok byl pravděpodobně umožněn nástroji AI, které dokážou skenovat open-source firmware pro slabiny v entropii ve velkém měřítku, což je schopnost nyní rychle přijímaná napříč všemi projekty hardwarových peněženek .
‚Udělal jsem vše správně‘ už nestačí. Mnoho obětí dodržovalo nejlepší postupy self-custody a přesto přišlo o všechno, což zdůrazňuje, že integrita firmwaru je novou hranicí rizika hardwarových peněženek .
crypto.newsColdcard hack: how a build flag drained 116M in bitcoin - Crypto News
