De $130M Coldcard-hack: hoe een firmwarefout uit 2021 de veiligste Bitcoin-wallets brak en een ETF-boom aanwakkerde

Dit is het verhaal van hoe een enkele fout in de bouwconfiguratie van een vlaggenschipbeveiligingsproduct een machine creëerde die voorspelbare privésleutels genereerde, en waarom de naslag tot aan de spot Bitcoin-ETF-markt reikte.

Hoe de Coldcard-exploit Werkt

Coldcard-hardware wallets, gemaakt door het Canadese bedrijf Coinkite, waren gebouwd voor één doel: uiterst veilige Bitcoin-opslag. Hun kernbelofte was dat privésleutels het apparaat nooit verlieten en dat de seed-generatie willekeur zou putten uit een speciale hardware random number generator (RNG) chip .

De fout: In maart 2021 bracht Coinkite firmwareversie 4.0.0 uit met een bouwconfiguratiefout. In plaats van de seed-frase generatie via de speciale hardware-RNG te leiden, viel de firmware stilzwijgend terug op een softwarematige pseudorandom number generator (PRNG) . Een interne vlag — MICROPY_HW_ENABLE_RNG = 0 — had het hardware-willekeurigheidspad effectief uitgeschakeld .

Het gevolg: De seed-entropie stortte in. Een veilige, door hardware gegenereerde seed biedt een 128-bits sleutelruimte — dat betekent 2¹²⁸ mogelijke waarden, wat astronomisch groot en niet te forceren is. De software-terugval reduceerde dat tot slechts 40 bits, oftewel ongeveer 4 miljard mogelijke waarden . Voor een vastberaden aanvaller met de juiste informatie was die sleutelruimte klein genoeg om op afstand te doorzoeken.

Aanvallers konden wallet seed-frases reconstrueren door serienummers van apparaten, klokstanden en andere openbaar waarneembare gegevens te combineren met de beperkte sleutelruimte . Vervolgens genereerden ze kandidaat-seeds op hun eigen machines, leidden er adressen van af en controleerden die adressen tegen de Bitcoin-blockchain om wallets met saldi te vinden. De volledige aanval vereiste geen fysieke toegang tot het apparaat van een slachtoffer .

De Tijdlijn van de Aanvalsgolven

De exploit vond plaats in meerdere golven, waarbij de meest agressieve actie in de eerste uren plaatsvond.

• Golf 1 (30 juli, ~10 minuten): De primaire aanvaller richtte zich op de grootste wallets en stal ongeveer $30 miljoen in Bitcoin .
• Golf 1 uitgebreid (25 minuten): Binnen 25 minuten was er meer dan $38 miljoen uit ongeveer 500 wallets weg .
• Golf 1 volledig (41 minuten): Galaxy Research bracht de eerste golf in kaart als 1.082,65 BTC (ongeveer $70,2 miljoen op dat moment) die uit 1.196 adressen was gehaald in 41 minuten .
• Volgende golven: Begin augustus bevestigde Galaxy drie grote aanvalsgolven en 14 kleinere incidenten, waarbij ten minste een dozijn verschillende hackers actief op Coldcard-gebruikers joegen . Het totaal groeide tot meer dan 5.200 getroffen adressen, met sommige schattingen die 7.300 adressen bereikten .

Op 4 augustus had Galaxy Research er een hoge mate van vertrouwen in dat er 1.596 BTC was gestolen, met onbevestigde verliezen die nog eens $30 miljoen toevoegden . De totale schade kwam uit op ongeveer $130 miljoen .

On-Chain Nasleep: Een Uittocht uit Coldcard

De hack leidde tot een onmiddellijke migratie. Bitcoin registreerde 2,27 miljoen nieuwe wallets en 751.000 actieve wallets in de eerste week van augustus — de sterkste on-chain activiteit in maanden — terwijl houders zich haastten om geld van Coldcard-apparaten te verplaatsen .

Cruciaal: het bijwerken van de firmware kon een getroffen seed niet repareren. De enige remedie was het genereren van een nieuwe seed op een gepatchte firmware en het zorgvuldig migreren van fondsen . Dit betekende dat elke wallet waarvan de seed was gemaakt op kwetsbare firmwareversies (4.0.1 tot en met 5.0.3, die Mk2- en Mk3-modellen trof) permanent risico liep totdat de gebruiker handmatig munten verplaatste .

De ETF-Instroompiek: $853,5 Miljoen in Één Week

In de eerste week van augustus 2026 zagen Amerikaanse spot Bitcoin-ETF's een netto-instroom van $853,5 miljoen — hun beste week sinds april 2026 . De instroom was breed gedragen, maar geconcentreerd aan de top:

• Dagelijkse uitsplitsing: $170 miljoen op maandag, $211,5 miljoen op dinsdag, $244,4 miljoen op woensdag, $128,7 miljoen op donderdag, $98,9 miljoen op vrijdag .
• Koploper: BlackRock's iShares Bitcoin Trust (IBIT) was verantwoordelijk voor ongeveer $693 miljoen van het weektotaal, oftewel ongeveer 81% van alle instroom .
• Fidelity's FBTC kwam op de tweede plaats met $116,5 miljoen .

De ETF-piek volgde op een acht weken durende reeks van uitstroom die tot begin juli $8,26 miljard had weggezogen . De ommekeer was scherp en plotseling — en de samenloop met de Coldcard-hack wakkerde onmiddellijk speculatie aan.

Het Debat: Hack versus Macro — Wat Dreef de Instroom?

De timing was opvallend. De Coldcard-aanval werd op 30-31 juli openbaar. De ETF-instroom begon op maandag 3 augustus. Maar diezelfde week, op vrijdag 7 augustus, publiceerde het Amerikaanse Bureau of Labor Statistics een schokkend zwak banenrapport voor juli. Beide gebeurtenissen kunnen de ETF-aankopen hebben gedreven, en analisten blijven verdeeld over wat de primaire oorzaak was.

Argumenten voor de Hack als Drijfveer

• Directe timing: De ETF-instroom begon slechts dagen nadat de Coldcard-exploit algemeen bekend werd .
• Crisis van vertrouwen in bewaring: De hack ondermijnde direct het vertrouwen in self-custody. Het oude crypto-mantra "not your keys, not your coins" werd omgedraaid — in dit geval leidde het zelf bewaren van je sleutels tot verliezen. Een Bloomberg-analist merkte op dat het incident "het debat aanwakkerde" of sommige beleggers self-custody heroverwogen en overstapten naar gereguleerde bewaarders zoals ETF-aanbieders .
• On-chain bewijs van migratie: De piek in het aantal nieuwe wallets en de verplaatsing van geld weg van Coldcard-apparaten was consistent met een "vlucht naar bewaring" .

Argumenten voor Macro als Drijfveer

• De banenschok van juli: Het Amerikaanse nonfarm payrolls-rapport toonde een verlies van 23.000 banen, tegen een consensusverwachting van een plus van 80.000. Voorgaande maanden werden naar beneden bijgesteld met nog eens 103.000 banen .
• Herwaardering rentepad Fed: De kans op een renteverhoging in september door de Fed daalde van 55% naar 20% . Markten prijsten onmiddellijk een pauze in het beleid in, wat een sterk bullish signaal is voor risicovolle activa, waaronder Bitcoin.
• Bitcoin-prijsreactie: Bitcoin sprong boven de $65.000 na het banentegenvaller .
• Eerdere macro-gevoeligheid: De acht weken durende ETF-uitstroom was al begin juli omgeslagen, na het zwakke banenrapport van juni (57.000 banen, ruim onder verwachting), wat ook een instroomdag van $221,7 miljoen veroorzaakte . Dit suggereerde dat ETF-stromen al weer gevoelig waren geworden voor macro-omstandigheden vóór de Coldcard-exploit.

Waar het Bewijs Ligt

De meeste geanalyseerde analisten bij grote nieuwsuitzendingen concludeerden dat de ETF-piek waarschijnlijk werd gedreven door beide krachten die in dezelfde richting werkten . De hack leverde een micro-level "vlucht naar bewaring"-rationale — een concrete reden voor self-custody-houders om hun beveiligingsopstelling te heroverwegen. Het zwakke banenrapport leverde een macro-level "risk-on"-katalysator — het soort brede monetaire beleidsverschuiving dat institutioneel kapitaal naar alle risicovolle activa drijft, waaronder Bitcoin.

Zoals een Bloomberg-analist het verwoordde, is het oorzakelijke verband tussen de hack en de ETF-instroom "onduidelijk", maar heeft de samenloop "het debat aangewakkerd" . Een analyse van MSN Money concludeerde dat de hack een "handig verhaal" bood voor een verschuiving die mogelijk macro-gedreven was, maar merkte op dat het bewaarderingsdebat nu "voor het eerst sinds de begindagen van Bitcoin-ETF's" centraal staat .

Wat duidelijk is: de instroomweek van $853,5 miljoen was de sterkste sinds april, en twee grote gebeurtenissen — een eens-in-een-generatie hardware wallet-storing en een schokkend banenrapport — vielen in hetzelfde tijdsvenster samen. Zowel de bewaarderingsvraag als de macro-vooruitzichten zijn nu onzekerder dan ze waren vóór die week. Die onzekerheid, in plaats van een helder antwoord, is de echte conclusie.