Coldcard hack 2026: Pět let stará chyba připravila držitele bitcoinu o 89 milionů dolarů

Nešlo o prolomení bitcoinu ani o fyzické napadení zařízení. Problém se týkal firmwaru, tedy softwaru uvnitř peněženky, který vytváří obnovovací neboli seed frázi.

Chyba vznikla při aktualizaci v březnu 2021

Kořeny incidentu sahají k firmwaru Coldcard verze 4.0.0, vydanému v březnu 2021 kanadskou společností Coinkite . Při migraci operací s eliptickými křivkami vedla chyba v konfiguraci sestavení zařízení k tomu, že přestalo používat vyhrazený hardwarový generátor náhodných čísel STM32. Místo něj se při vytváření seed fráze použil softwarový pseudonáhodný generátor, označovaný jako PRNG .

Další problém byl v podpůrné knihovně. Kontrola ověřovala pouze to, zda příslušné nastavení existuje, nikoli zda je skutečně zapnuté. Chyba proto nevyvolala žádné upozornění a zůstala neodhalena po několik let .

Seed fráze, která funguje jako hlavní klíč k bitcoinům uživatele, tak vznikala z předvídatelných údajů, například sériového čísla zařízení a registrů hodinového obvodu. Místo zamýšlené entropie 128 bitů měly dotčené peněženky podle dostupných analýz přibližně 72 bitů . To výrazně zmenšilo prostor možných klíčů a umožnilo útočníkovi hledat správné kombinace offline.

Kterých zařízení se problém týkal?

Společnost Coinkite potvrdila, že zranitelnost se týkala konkrétních modelů a verzí firmwaru:

• Coldcard Mk3 s firmwarem ve verzích 4.0.1 až 5.0.3
• Coldcard Mk4 a Mk5 před vydáním firmwaru 5.6.0
• Coldcard Q před vydáním firmwaru 1.5.0Q

Potenciálně ohrožená byla každá seed fráze vytvořená na dotčeném zařízení od března 2021 do opravy chyby . Samotné používání zařízení přitom nebylo podmínkou útoku. Útočník nemusel peněženku ukrást, otevřít ani infikovat malwarem; soukromé klíče rekonstruoval zvenčí díky předvídatelnému způsobu generování seedů .

Tři vlny útoků a rozdílné odhady škod

První útoky začaly přibližně 30. července 2026 a proběhly nejméně ve třech vlnách. Během jedné z nich zmizelo 594 BTC za pouhých 25 minut .

Počáteční odhad společnosti Galaxy Research hovořil přibližně o 70 milionech dolarů. S identifikací dalších napadených adres se pozdější odhady posunuly k částce kolem 89 až 116 milionů dolarů, protože záleželo také na ceně bitcoinu v době zveřejnění jednotlivých zpráv . Nejčastěji uváděný údaj představuje nejméně 1 367 BTC z více než 4 500 adres .

Velcí držitelé nakupovali, drobní investoři prodávali

Incident odhalil výrazný rozdíl v chování různých skupin investorů. Podle on-chain dat společnosti Santiment přidaly peněženky s obsahem 10 až 10 000 BTC od 29. července do začátku srpna dohromady 19 610 BTC. To odpovídalo růstu jejich zůstatků o 0,14 procenta a hodnotě přibližně 1,25 miliardy dolarů . Jiné přehledy uváděly za osm dní akumulaci v rozmezí 19 696 až 19 700 BTC .

Menší držitelé se vydali opačným směrem. Peněženky s méně než 0,01 BTC snížily své zůstatky ve stejném období o 0,55 procenta . Spotový objem obchodování s bitcoinem klesl o 75 procent, protože drobní investoři přestali tolik nakupovat při poklesu . Panické prodeje se podle dostupných popisů dostaly na úroveň, která nebyla zaznamenána od kolapsu burzy FTX v listopadu 2022 .

Tato data sama o sobě nedokazují, že každý velký držitel považoval výprodej za příležitost, ani že každý malý investor prodával kvůli Coldcardu. Ukazují však jasnou časovou souvislost: zatímco velké peněženky v období nejistoty navyšovaly expozici, drobní držitelé ji omezovali.

Coldcard zapadá do širší bezpečnostní krize

Hack přišel v době, kdy kryptoměnový sektor zaznamenal rekordní počet bezpečnostních incidentů. V první polovině roku 2026 bylo podle dat TRM Labs zaznamenáno 207 hacků a exploitů, více než dvojnásobek oproti 85 incidentům ve stejném období roku 2025 .

Celkové ztráty dosáhly přibližně 972 milionů dolarů. To je méně než polovina částky 2,3 miliardy dolarů ukradené v první polovině roku 2025, počet útoků však prudce vzrostl .

Další údaje z přehledů:

• skupiny napojené na Severní Koreu byly spojovány s přibližně 66 procenty ukradených prostředků, tedy asi 643 miliony dolarů ;
• z celkových 207 incidentů tvořily exploity smart kontraktů 125 případů, přibližně 60 procent ;
• narušení infrastruktury a provozních procesů představovala jen asi 15 procent incidentů, ale přibližně 76 procent celkové hodnoty odcizených prostředků .

Coldcard proto nevyvolal pouze otázky kolem jedné značky. Zpochybnil širší předpoklad, že zařízení izolované od internetu je automaticky bezpečné. Air gap může omezit některé typy útoků, neodstraní však riziko chyby ve firmwaru, výrobní konfiguraci nebo dodavatelském řetězci.

Co z incidentu vyplývá pro uživatele

Uživatelé dotčených modelů a verzí firmwaru by podle bezpečnostních upozornění měli seed frázi považovat za potenciálně kompromitovanou. Samotná instalace opraveného firmwaru nemusí stačit, pokud byla fráze vytvořena v období, kdy byla přítomna chyba. Doporučeným postupem je vytvořit nový seed na bezpečném, opraveném zařízení a prostředky převést do nové peněženky .

Případ Coldcard připomíná, že „offline“ neznamená bezrizikové. Bezpečnost hardwarové peněženky stojí nejen na čipu a fyzické izolaci, ale také na správném firmwaru, konfiguraci sestavení, testování náhodnosti a rychlém zveřejnění problémů. Jediná přehlédnutá podmínka v kódu tak dokázala po více než pěti letech proměnit jednu z hlavních výhod zařízení — bezpečné generování klíčů — v jeho nejslabší místo.