Coldcard-hacket i 2026: Fem år gammel firmwarefejl kostede 89 millioner dollar i bitcoin

Hændelsen ramte samtidig et marked, hvor de største bitcoin-investorer bevægede sig i den modsatte retning af de mindste. On-chain-data viste, at store wallets samlede bitcoin op, mens mindre investorer reducerede deres beholdninger og solgte under den stigende uro.

Fejlen blev introduceret i marts 2021

Problemet kan spores til Coldcard-firmware version 4.0.0, som den canadiske producent Coinkite udgav i marts 2021 . I forbindelse med en ændring af elliptisk-kurve-operationerne instruerede en indstilling i build-konfigurationen enheden i at springe den dedikerede STM32-hardwaregenerator for tilfældighed over. I stedet blev en softwarebaseret pseudotilfældighedsgenerator – en såkaldt PRNG – brugt til at skabe seed phrases .

En kontrol i et understøttende softwarebibliotek undersøgte kun, om indstillingen fandtes, ikke om den faktisk var aktiveret. Derfor kunne fejlen passere ubemærket i årevis .

En seed phrase fungerer som hovednøglen til en bitcoin-wallet. På de berørte enheder blev den genereret ud fra forudsigelige oplysninger som enhedens serienummer og interne klokkeværdier . Den tilsigtede entropi var 128 bit, men de berørte enheder leverede ifølge analyser omtrent 72 bit – et langt mindre nøgleområde, som en angriber kunne gennemsøge offline .

Det var ikke en fejl i bitcoins kryptografi. Svagheden lå i den måde, Coldcard-firmwaren skabte nye seed phrases på .

Hvilke Coldcard-enheder var berørt?

Coinkite bekræftede, at sårbarheden omfattede flere modeller og firmwareversioner:

• Mk3 med firmwareversion 4.0.1 til og med 5.0.3
• Mk4 og Mk5 før firmwareversion 5.6.0
• Coldcard Q før firmwareversion 1.5.0Q

Alle seed phrases, der blev oprettet på en berørt enhed siden marts 2021, kunne derfor være kompromitterede . Brugere blev opfordret til at oprette nye seed phrases og flytte midlerne til nye wallets .

Over 1.300 BTC blev tømt i flere angrebsbølger

Angrebet begyndte omkring 30. juli 2026 og foregik i mindst tre bølger. Samlet blev der tømt bitcoin fra mere end 4.500 adresser . I en særlig voldsom bølge blev 594 BTC stjålet på blot 25 minutter .

De første estimater fra Galaxy Research lød på omkring 70 millioner dollar. Efterhånden som flere kompromitterede adresser blev identificeret, landede senere opgørelser på cirka 89 til 116 millioner dollar, afhængigt af bitcoinprisen på rapporteringstidspunktet .

Angriberen behøvede ikke at få adgang til selve hardwarewalleten. De svækkede seed phrases kunne rekonstrueres udefra ved at forudsige de værdier, som den fejlslagne generator havde brugt .

Store bitcoin-ejere købte, mens små investorer solgte

Coldcard-sagen faldt sammen med en tydelig forskel i investorernes adfærd. Ifølge on-chain-data fra Santiment øgede wallets med mellem 10 og 10.000 BTC deres samlede beholdning med 19.610 BTC fra 29. juli til begyndelsen af august. Det svarede til en stigning på 0,14 procent og en værdi på omkring 1,25 milliarder dollar på daværende prisniveauer .

Andre opgørelser viste en akkumulering på mellem 19.696 og 19.700 BTC over en periode på otte dage . Tallene blev tolket som et tegn på, at større markedsaktører så kursfaldet som en overreaktion – selv om dataene i sig selv ikke beviser, hvorfor de købte.

De mindste investorer bevægede sig modsat. Wallets med under 0,01 BTC reducerede deres beholdning med 0,55 procent i samme periode . Spot-handelsvolumen for bitcoin faldt desuden med 75 procent, mens interessen for at købe dippen blandt mindre investorer kølnede . Paniksalget blev beskrevet som det højeste siden FTX-kollapset i november 2022 .

Et bredere sikkerhedsproblem for krypto

Coldcard-hacket kom på et tidspunkt, hvor kryptosektoren allerede havde oplevet et rekordstort antal sikkerhedshændelser. I første halvår af 2026 blev der registreret 207 kryptohacks – mere end dobbelt så mange som de 85 hændelser i første halvår 2025 .

De samlede tab blev opgjort til omkring 972 millioner dollar af TRM Labs og Immunefi. Det var mindre end halvdelen af de 2,3 milliarder dollar, der gik tabt i første halvår 2025, men antallet af angreb steg markant .

• Nordkorea-forbundne grupper blev kædet sammen med omkring 66 procent af de stjålne midler, svarende til cirka 643 millioner dollar .
• Smart contract-angreb stod for 125 af de 207 hændelser – omtrent 60 procent .
• Infrastruktur- og driftskompromitteringer udgjorde kun 15 procent af hændelserne, men stod for cirka 76 procent af den samlede stjålne værdi .

Hvad betyder sagen for hardwarewallets?

Coldcard blev ofte fremhævet som en stærk løsning til såkaldt self-custody, hvor brugeren selv opbevarer de private nøgler. Derfor ramte afsløringen hårdt: En enkelt fejl i firmwaren havde i årevis undermineret den proces, der skulle skabe walletens vigtigste sikkerhedskomponent – seed phrasen.

Sagen viser samtidig forskellen mellem fysisk isolation og softwareintegritet. En wallet kan være koblet fra internettet og stadig være sårbar, hvis firmwaren genererer forudsigelige nøgler. Det har genåbnet debatten om, hvorvidt air-gapped hardwarewallets alene er tilstrækkelige, når forsyningskæden eller firmwarelaget kan svækkes af en enkelt konfigurationsfejl .