Hoe een firmwarefout de entropie van Coldcard-wallets liet instorten

De diefstal gebeurde niet doordat iemand de fysieke Coldcard-apparaten van slachtoffers in handen kreeg. De oorzaak was een stille fout in de firmware: de software die de walletseed moest genereren, gebruikte niet langer voldoende willekeurige gegevens. Daardoor werden herstelzinnen — de bekende 12 of 24 woorden — voorspelbaar.

De oorzaak: een buildfout uit 2021

De kwetsbaarheid is terug te voeren op een firmwarewijziging van 1 maart 2021, die werd opgenomen in Coldcard-firmware vanaf versie 4.0.1 . Coldcard-apparaten beschikken over een speciale hardwarematige generator voor echte willekeurige getallen, de zogenoemde TRNG (true random number generator).

Door de fout werd die hardwaregenerator overgeslagen. Het apparaat viel in plaats daarvan terug op een softwarematige pseudo-randomgenerator . Die gebruikte volgens de beschikbare analyses onder meer het serienummer van de chip en de interne klok als invoer — gegevens die niet geheim en bovendien te raden of offline te brute-forcen waren .

Het gevolg was een dramatische daling van de effectieve entropie: de hoeveelheid onvoorspelbaarheid die een cryptografisch geheim beschermt. In plaats van de beoogde 256 bits aan willekeur ontstond een veel kleinere, doorzoekbare verzameling mogelijke seeds .

Een aanvaller kon daardoor voor een kwetsbare wallet alle waarschijnlijke seeds berekenen, de bijbehorende privésleutels afleiden en controleren of er bitcoin op de adressen stond. Daarvoor was geen fysieke toegang tot het apparaat nodig .

Zo werd de aanval uitgevoerd

De aanvallers konden op grote schaal offline seed phrases enumereren: mogelijke zwakke seeds één voor één berekenen, daaruit privésleutels en bitcoinadressen afleiden, en vervolgens adressen met saldo leeghalen. Blockchainonderzoeksbureau Galaxy Research bracht de belangrijkste geldstromen in kaart en onderscheidde minstens drie aanvallersgroepen .

De grootste afzonderlijke sweep vond plaats in de vroege uren van 30 juli. In slechts 41 minuten werden 1.196 adressen leeggehaald, goed voor 1.082,65 BTC, destijds ongeveer 70,2 miljoen dollar .

Er wordt ook volop gediscussieerd over de rol van kunstmatige intelligentie. Verschillende bronnen melden dat AI mogelijk heeft geholpen bij het controleren van de open-sourcecode en het vinden van de fout. Daarnaast hebben AI-tools waarschijnlijk bijgedragen aan de grootschalige berekeningen en het scannen van adressen die de aanval op deze schaal uitvoerbaar maakten . Dat voedt de discussie over een nieuw tijdperk waarin AI niet alleen verdedigers, maar ook aanvallers helpt bij kwetsbaarheidsonderzoek.

Welke gebruikers liepen risico?

De precieze reikwijdte verschilt per beveiligingsadvies en blockchainanalyse. De belangrijkste gemelde risicogroepen waren:

• Coldcard Mk2- en Mk3-apparaten met bepaalde firmware uit de 4.x-reeks; sommige bredere analyses noemen ook versies tot en met 5.0.3 .
• Gebruikers die hun seed phrase door het apparaat lieten genereren en geen dobbelstenen gebruikten om extra entropie toe te voegen.
• Gebruikers die geen BIP39-passphrase — een extra wachtwoord naast de seed phrase — hadden ingesteld .
• Volgens Coinkites openbare waarschuwing waren vooral Mk3-seeds die met firmware 4.0.1 tot en met 5.0.3 waren aangemaakt, dringend risicovol . Andere analyses rapporteerden een bredere impact op meerdere modellen en firmwaretakken .

Gebruikers die hun seed met dobbelsteenworpen hadden aangevuld, een BIP39-passphrase gebruikten of een herstelde firmwareversie toepasten, golden volgens de beschikbare adviezen niet als kwetsbaar voor deze specifieke seedfout. Mk4-apparaten werden in sommige meldingen als niet getroffen omschreven, terwijl bredere analyses ook voor andere modellen en oudere firmwareversies een zwakkere variant van het probleem beschreven .

Belangrijk: alleen de firmware bijwerken maakt een al aangemaakte kwetsbare seed niet veilig. Wie risico loopt, moet een nieuwe wallet maken met een vaste firmwareversie of gecontroleerde extra entropie en de fondsen daarna naar nieuwe adressen verplaatsen .

Reactie van Coinkite en de slachtoffers

Coinkite, de Canadese fabrikant van Coldcard, publiceerde op 30 juli 2026 een beveiligingswaarschuwing. Het bedrijf riep gebruikers met mogelijk kwetsbare wallets op hun bitcoin onmiddellijk over te zetten naar een nieuwe wallet die met vaste firmware of dobbelsteenentropie was aangemaakt .

Ook bracht Coinkite bijgewerkte firmware uit — versie 5.0.4 of hoger — om het correcte gebruik van de hardwarematige willekeurengenerator te herstellen . Daarnaast publiceerde het bedrijf een tijdlijn die de fout terugvoerde naar de wijziging uit maart 2021 en werkte het samen met blockchainanalysebedrijven zoals Galaxy Research en Block om de gestolen fondsen te volgen .

Voor slachtoffers verliep de reactie chaotisch. Veel gebruikers ontdekten het probleem pas nadat hun wallet al was leeggehaald. Op sociale media verschenen op 30 juli veel meldingen van verdwenen tegoeden . Tegelijkertijd doken verschillende websites op die beweerden te kunnen controleren of een wallet getroffen was. Sommige daarvan bleken phishingpogingen te zijn.

De mogelijkheden voor herstel zijn beperkt. Bij self-custody — waarbij de gebruiker zelf de privésleutels beheert — is er geen centrale bewaarpartij die een transactie kan terugdraaien.

Concurrent Ledger verklaarde dat zijn apparaten niet door deze Coldcard-kwetsbaarheid waren getroffen. Volgens Ledger gebruiken zijn wallets een gecertificeerde TRNG die in een secure-elementchip is ingebouwd en voor elke herstelzin 256 bits aan entropie genereert .

Gevolgen voor bitcoin en self-custody

De hack veroorzaakte geen grote bitcoincrash, al droeg het incident wel bij aan een algeheel voorzichtiger sentiment in een volatiele markt . De reputatieschade voor Coldcard was groter. Het merk stond juist bekend om zijn focus op zeer strenge, zogenoemde ‘paranoia-level’ bitcoinbeveiliging .

Het incident zet vooral een bredere vraag op scherp: hoe veilig is een air-gapped hardwarewallet — een wallet die voor bepaalde handelingen niet met internet is verbonden — als een firmwarefout ongemerkt de willekeurigheid van nieuwe seeds aantast?

De belangrijkste lessen die beveiligingsexperts en marktpartijen opnieuw benadrukken zijn:

• gebruik waar mogelijk multisignature-wallets, waarbij meerdere sleutels nodig zijn voor een transactie;
• overweeg een BIP39-passphrase naast de seed phrase;
• controleer hoe een hardwarewallet zijn entropie genereert;
• maak bij een mogelijk kwetsbare seed een volledig nieuwe wallet en verplaats de fondsen, in plaats van alleen de firmware te updaten .

De mogelijke inzet van AI maakt de discussie urgenter. Als AI-systemen open-sourcefirmware sneller en op grotere schaal kunnen controleren, kunnen ze fouten eerder aan het licht brengen — maar kunnen aanvallers dezelfde mogelijkheden ook gebruiken om kwetsbaarheden op te sporen .

Waar staat de gestolen bitcoin nu?

Per 7 augustus 2026 was het grootste deel van de gestolen bitcoin nog niet uitgegeven. De transacties zijn zichtbaar op de openbare blockchain en worden gevolgd door Galaxy Research, Block, TRM Labs en andere partijen. Dat maakt de buit voor de aanvallers moeilijker om ongemerkt te verkopen, hoewel de fondsen daarmee nog niet zijn teruggekeerd naar de slachtoffers.

• Grootste cluster: een aanvaller controleert naar schatting 1.159 BTC, verdeeld over zeven adressen. Op 5 augustus was geen deel daarvan naar een mixer of een bekende exchange gestuurd .
• Tweede cluster: een andere groep verplaatste tussen 4 en 6 augustus ongeveer 64 BTC via Wasabi en 200 ETH via Tornado Cash. Dat kan wijzen op kleinere aanvallers die een deel van de seedgegevens in handen hadden en als eerste probeerden geldstromen te verhullen .
• Derde cluster: op 7 augustus werd 30,185 BTC, ongeveer 1,94 miljoen dollar, naar een nieuwe wallet gestuurd. Dat was de eerste beweging in weken vanuit een cluster dat naar schatting circa 2.055 BTC beheerde .
• Totaalbeeld: volgens een stand van 4 augustus was ongeveer 90 procent van circa 1.600 gestolen BTC nog niet verplaatst. Er was toen geen bitcoin via een bekende exchange omgezet in contanten en vanuit de grootste cluster was geen bitcoin naar een mixer gestuurd .

De fondsen zijn dus niet letterlijk bevroren door een rechtbank of beurs. Ze zijn vooral zichtbaar, traceerbaar en daardoor moeilijk te gelde te maken. Een deel is inmiddels wel richting mixers gestuurd, maar voor het grootste cluster is geen openbare inbeslagname of terugbetaling aan slachtoffers bevestigd. De Coldcard-hack laat daarmee een ongemakkelijke paradox van bitcoin zien: de blockchain maakt diefstal snel en wereldwijd uitvoerbaar, maar registreert de buit ook permanent in het volle zicht.