Coldcard-hack: $130 miljoen gestolen, 7.700+ wallets leeggehaald – complete analyse

De aanvaller had geen fysieke toegang, phishing-e-mails of malware nodig. Door de verzwakte entropy-uitvoer te reverse-engineeren, konden ze op afstand de 12- of 24-woorden seed phrases van slachtoffers reconstrueren en wallets leegtrekken die nooit met internet verbonden waren geweest .

Coldcard-CEO Rodolfo Novak bevestigde het probleem op 30 juli 2026 en suggereerde dat de kwetsbaarheid mogelijk was ontdekt met behulp van AI-tools die open-source firmware op schaal kunnen scannen op entropy-zwaktes .

Omvang en tijdlijn van de diefstal

De aanval vond plaats in meerdere gecoördineerde golven:

• 30 juli – Eerste golf: In een sweep van 25 minuten, die rond 21:56 ET begon, plunderde de aanvaller ongeveer 594 BTC (~$38M) uit ongeveer 500 wallets, te beginnen met de grootste saldi . Chainalysis ontdekte dat alleen al in de eerste 10 minuten $30 miljoen werd gestolen .
• 31 juli – 4 augustus – Tweede en derde golf: Extra sweeps brachten de verliezen op 1.596 BTC (~$100M+) over ongeveer 7.300 adressen .
• Vermoedelijke vierde golf: Galaxy Research wees op een mogelijke vierde golf die, indien bevestigd, het totaal op 2.055 BTC (~$130M) zou brengen .

Begin augustus classificeerde TRM Labs de Coldcard-hack als de op twee na grootste crypto-hack van 2026 . Galaxy Research identificeerde minstens 15 afzonderlijke aanvallers die nu racen om eventuele niet-gemigreerde kwetsbare wallets te exploiteren .

7 augustus: verplaatsing van 30,185 BTC ($1,94M)

Op 7 augustus 2026 verplaatste een wallet die gelinkt was aan de Coldcard-hacker 30,185 BTC (~$1,94M) naar een nieuw aangemaakt adres, volgens on-chain tracker Lookonchain . Dit was de eerste verplaatsing van gestolen geld sinds de eerste exploits begonnen.

• De transfer vertegenwoordigde ongeveer 1,5% van de totale buit van 2.055 BTC .
• Analisten interpreteerden het als een mogelijke testtransactie of een voorbereidende stap richting een grotere uitbetaling .
• De Bitcoin-prijs reageerde nauwelijks en noteerde rond $64.152 op dat moment .

90% van het gestolen geld blijft onaangeroerd

Na de transfer van 7 augustus blijft ongeveer 98,5% van de gestolen ~2.055 BTC onaangeroerd in de wallets van de hacker . Dit patroon is consistent met geavanceerde aanvallers die maanden of jaren wachten voordat ze proberen grote sommen wit te wassen. Blockchain-forensische bedrijven en exchanges houden de adressen nauwlettend in de gaten .

Reactie van Coinkite en firmware-update

Coinkite handelde snel na de ontdekking van de kwetsbaarheid op 30 juli:

• 30 juli – Gaf een dringend veiligheidsadvies uit met openbaarmaking van de bug .
• 31 juli – Stuurde een nood-gerepareerde firmware voor elk getroffen model en release-track :
  • Mk3: versie 4.2.0 of later
  • Mk4/Mk5 standaard: versie 5.6.0 of later
  • Q standaard: versie 1.5.0Q of later
  • Mk4/Mk5 Edge: versie 6.6.0X of later
  • Q Edge: versie 6.6.0QX of later

Kritieke waarschuwing: Het installeren van de gerepareerde firmware repareert een reeds gecompromitteerde seed niet. Coinkite vertelde alle getroffen gebruikers om een nieuwe seed aan te maken op de gerepareerde firmware en hun munten onmiddellijk te verplaatsen . Het bedrijf vernietigde ook de resterende voorraad die met kwetsbare firmware was geproduceerd en stopte de verzending .

Getroffen firmwareversies

• Hoogste risico: Mk3 firmware 4.0.1 tot en met 4.1.9, seeds gegenereerd zonder ten minste 50 onafhankelijke dobbelsteenworpen of een sterke, unieke BIP-39 wachtwoordzin
• Ook getroffen: Mk4-, Mk5- en Q-modellen vóór de bovengenoemde gefixeerde firmwareversies
• Niet getroffen: Seeds gegenereerd vóór het kwetsbare firmwarevenster; seeds met 50+ dobbelsteenworpen; seeds beschermd door een unieke BIP-39 wachtwoordzin; TAPSIGNER-, OPENDIME- en SATSCARD-apparaten (andere codebases); en multisig-opstellingen met ten minste één niet-kwetsbare sleutel

Gevolgen voor self-custody en de crypto-gemeenschap

• Hardware wallets zijn niet onfeilbaar. Het Coldcard-incident doorbrak de aanname dat offline wallets immuun zijn voor externe seed-diefstal . De fout zat meer dan vijf jaar onopgemerkt in de firmware.
• Seeds gegenereerd op kwetsbare firmware zijn permanent gecompromitteerd. Zelfs na het installeren van de fix blijven oude seeds voorspelbaar . Gebruikers moeten volledig nieuwe wallets aanmaken en geld overmaken.
• Bredere marktangst. Glassnode rapporteerde dat ongeveer 210.000 BTC werd verplaatst uit wallets van langetermijnhouders (die 155+ dagen inactief waren) in de week na de hack – de grootste verschuiving sinds 2024 – wat wijst op een breed verlies van vertrouwen onder Bitcoin-bezitters die self-custody toepassen .
• AI-gestuurde auditing versnelt. Beveiligingsonderzoekers merkten op dat de aanval waarschijnlijk werd geholpen door AI-tools die open-source firmware op schaal kunnen scannen op entropy-zwaktes, een mogelijkheid die nu snel wordt overgenomen door alle hardware wallet-projecten .
• 'Ik deed alles goed' is niet meer genoeg. Veel slachtoffers volgden de beste self-custody-praktijken en verloren toch alles, wat onderstreept dat firmware-integriteit het nieuwe front is van hardware wallet-risico .