Bitcoin Red Team vindt 85 kritieke kwetsbaarheden met AI-audit na $116M Coldcard-hack
In reactie op de Coldcard hack van juli 2026 – waarbij voor ruim $116 miljoen aan bitcoin werd gestolen – auditte een vrijwilligersteam met AI 390 open source Bitcoin projecten in 27 tot 30 uur. Het Bitcoin Red Team diende 4.962 kwetsbaarheidsmeldingen in, waarvan 85 als kritiek en 635 als ernstig werden bestempeld.
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
In reactie op de Coldcard hack van juli 2026 – waarbij voor ruim $116 miljoen aan bitcoin werd gestolen – auditte een vrijwilligersteam met AI 390 open source Bitcoin projecten in 27 tot 30 uur.
Het Bitcoin Red Team diende 4.962 kwetsbaarheidsmeldingen in, waarvan 85 als kritiek en 635 als ernstig werden bestempeld.
OpenAI trok zonder uitleg de API toegang in van mede initiatiefnemer Rob Hamilton, waardoor het team moest uitwijken naar minder restrictieve AI modellen, waaronder Chinese open weight alternatieven.
What was the Bitcoin Red Team's AI-driven security audit campaign, how did it respond to the July 2026 Coldcard wallet hack that drained oveAn AI-generated depiction of the Bitcoin Red Team's automated code audit campaign.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the Bitcoin Red Team's AI-driven security audit campaign, how did it respond to the July 2026 Coldcard wallet hack that drained ove. Article summary: Here is a complete breakdown of the Bitcoin Red Team campaign, the Coldcard hack that triggered it, the audit's findings and methods, and why OpenAI revoked the lead researcher's access.. Topic tags: general, general web, user generated, academic, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickb
openai.com
De Coldcard-hack van juli 2026 was een van de meest verwoestende beveiligingsincidenten in de Bitcoin-geschiedenis: aanvallers stalen meer dan $116 miljoen uit ruim 5.200 wallets door een jarenoude firmwarefout . Enkele dagen later begon een vrijwilligergroep van zestien security-onderzoekers met een ongekende, AI-gesteunde audit van het Bitcoin-open-source-ecosysteem. Wat ze vonden – en wat er gebeurde met hun toegang tot toonaangevende AI-modellen – werd het volgende breekpunt in het debat over AI en cybersecurity.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Bitcoin Red Team vindt 85 kritieke kwetsbaarheden met AI-audit na $116M Coldcard-hack"?
In reactie op de Coldcard hack van juli 2026 – waarbij voor ruim $116 miljoen aan bitcoin werd gestolen – auditte een vrijwilligersteam met AI 390 open source Bitcoin projecten in 27 tot 30 uur.
What are the key points to validate first?
In reactie op de Coldcard hack van juli 2026 – waarbij voor ruim $116 miljoen aan bitcoin werd gestolen – auditte een vrijwilligersteam met AI 390 open source Bitcoin projecten in 27 tot 30 uur. Het Bitcoin Red Team diende 4.962 kwetsbaarheidsmeldingen in, waarvan 85 als kritiek en 635 als ernstig werden bestempeld.
What should I do next in practice?
OpenAI trok zonder uitleg de API toegang in van mede initiatiefnemer Rob Hamilton, waardoor het team moest uitwijken naar minder restrictieve AI modellen, waaronder Chinese open weight alternatieven.
Bitcoin Red Team vindt 85 kritieke kwetsbaarheden met AI-audit na $116M Coldcard-hack
In reactie op de Coldcard hack van juli 2026 – waarbij voor ruim $116 miljoen aan bitcoin werd gestolen – auditte een vrijwilligersteam met AI 390 open source Bitcoin projecten in 27 tot 30 uur. Het Bitcoin Red Team diende 4.962 kwetsbaarheidsmeldingen in, waarvan 85 als kritiek en 635 als ernstig werden bestempeld.
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
In reactie op de Coldcard hack van juli 2026 – waarbij voor ruim $116 miljoen aan bitcoin werd gestolen – auditte een vrijwilligersteam met AI 390 open source Bitcoin projecten in 27 tot 30 uur.
Het Bitcoin Red Team diende 4.962 kwetsbaarheidsmeldingen in, waarvan 85 als kritiek en 635 als ernstig werden bestempeld.
OpenAI trok zonder uitleg de API toegang in van mede initiatiefnemer Rob Hamilton, waardoor het team moest uitwijken naar minder restrictieve AI modellen, waaronder Chinese open weight alternatieven.
What was the Bitcoin Red Team's AI-driven security audit campaign, how did it respond to the July 2026 Coldcard wallet hack that drained oveAn AI-generated depiction of the Bitcoin Red Team's automated code audit campaign.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the Bitcoin Red Team's AI-driven security audit campaign, how did it respond to the July 2026 Coldcard wallet hack that drained ove. Article summary: Here is a complete breakdown of the Bitcoin Red Team campaign, the Coldcard hack that triggered it, the audit's findings and methods, and why OpenAI revoked the lead researcher's access.. Topic tags: general, general web, user generated, academic, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickb
openai.com
De Coldcard-hack van juli 2026 was een van de meest verwoestende beveiligingsincidenten in de Bitcoin-geschiedenis: aanvallers stalen meer dan $116 miljoen uit ruim 5.200 wallets door een jarenoude firmwarefout . Enkele dagen later begon een vrijwilligergroep van zestien security-onderzoekers met een ongekende, AI-gesteunde audit van het Bitcoin-open-source-ecosysteem. Wat ze vonden – en wat er gebeurde met hun toegang tot toonaangevende AI-modellen – werd het volgende breekpunt in het debat over AI en cybersecurity.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Bitcoin Red Team vindt 85 kritieke kwetsbaarheden met AI-audit na $116M Coldcard-hack"?
In reactie op de Coldcard hack van juli 2026 – waarbij voor ruim $116 miljoen aan bitcoin werd gestolen – auditte een vrijwilligersteam met AI 390 open source Bitcoin projecten in 27 tot 30 uur.
What are the key points to validate first?
In reactie op de Coldcard hack van juli 2026 – waarbij voor ruim $116 miljoen aan bitcoin werd gestolen – auditte een vrijwilligersteam met AI 390 open source Bitcoin projecten in 27 tot 30 uur. Het Bitcoin Red Team diende 4.962 kwetsbaarheidsmeldingen in, waarvan 85 als kritiek en 635 als ernstig werden bestempeld.
What should I do next in practice?
OpenAI trok zonder uitleg de API toegang in van mede initiatiefnemer Rob Hamilton, waardoor het team moest uitwijken naar minder restrictieve AI modellen, waaronder Chinese open weight alternatieven.
Het Bitcoin Red Team is een vrijwilligersinitiatief, mede geleid door de pseudonieme Bitcoin-ontwikkelaar Calle en Rob Hamilton, CEO van het Bitcoin-bewaarplatform AnchorWatch . Begin augustus 2026 voerde de groep een razendsnelle, AI-gesteunde beveiligingsscan uit van het open-source Bitcoin-ecosysteem. In ongeveer 27,5 tot 30 uur auditten zestien security-onderzoekers met behulp van AI-modellen 390 open-source Bitcoin-repositories en dienden zij 4.962 kwetsbaarheidsmeldingen in . De non-profitorganisatie OpenSats betaalde de AI-computerkosten – circa $40.000 in totaal, of ongeveer $10.000 per dag .
Hoe het reageerde op de Coldcard-hack
De campagne was een direct antwoord op de Coldcard-hardwarewallet-exploit van juli 2026. Dit is wat er bij die hack gebeurde:
De kwetsbaarheid: Een firmwarefout, geïntroduceerd in Coldcard-firmwareversie 4.0.0 (maart 2021), zorgde ervoor dat het apparaat tijdens het aanmaken van seed phrases de speciale hardwarematige randomgenerator omzeilde . Hierdoor werden wallet-seed phrases voorspelbaar: de sleutelsterkte daalde van 128 bits tot slechts 40 bits .
De aanval: Vanaf 30 juli 2026 maakten aanvallers misbruik van deze fout om duizenden wallets leeg te halen. De eerste golf trof 1.196 adressen in 41 minuten en stal 1.082,65 BTC (destijds ~$70 miljoen) .
Totale verliezen: Meerdere golven brachten het totaal op meer dan $116 miljoen uit ruim 5.200 adressen, waarbij sommige schattingen zelfs boven de $130 miljoen uitkwamen . Er waren ten minste twaalf verschillende hackers bij betrokken .
Coinkite's reactie: Het bedrijf drong er bij gebruikers op aan de firmware te updaten en hun geld over te zetten, maar tegen die tijd was de schade al aangericht .
Als reactie startte het Bitcoin Red Team zijn audit om soortgelijke fouten in randomgeneratoren, zwakke cryptografische praktijken en andere structurele problemen op te sporen voordat aanvallers ze konden misbruiken .
Belangrijkste bevindingen en methoden
Bevindingen
Metriek
Aantal
Totaal aantal ingediende bevindingen
4.962
Kritieke problemen
85
Ernstige problemen
635
Gecombineerd (kritiek of ernstig)
720
Bevindingen reproduceerbaar bij controle
21,4%
Geauditte repositories
390
Teamgrootte
16 onderzoekers
De enorme hoeveelheid – bijna 5.000 meldingen in één dag – zorgde voor een groot triageprobleem voor de ontwikkelaars die de code moeten onderhouden . Slechts ongeveer een op de vijf bevindingen bleek reproduceerbaar, maar de groep stelde dat het melden van twijfelgevallen gerechtvaardigd was gezien de ernst van de Coldcard-aanval .
Methoden
Het team gebruikte open-weight AI-modellen om codebases te scannen op bekende kwetsbaarheidspatronen, cryptografische zwakheden en logische fouten .
Menselijke onderzoekers stuurden de AI aan, valideerden de resultaten en dienden verantwoorde openbaarmakingsrapporten in .
De groep is van plan zijn AI-beveiligingsprogramma open-source te maken, zodat de bredere gemeenschap geautomatiseerd kan blijven scannen .
Ze richtten zich op wallets, cryptografische bibliotheken en Bitcoin-infrastructuurprojecten – de code die, als die gebreken vertoont, tot een nieuwe Coldcard-ramp zou kunnen leiden .
Waarom OpenAI de toegang van de hoofonderzoeker halverwege het project introk
Rob Hamilton (CEO van AnchorWatch en mede-campagneleider) had zich aangemeld voor OpenAI's "Trust Cyber"-programma, dat goedgekeurde security-onderzoekers gesubsidieerde API-toegang geeft voor kwetsbaarheidsonderzoek . Op 8 en 9 augustus 2026, nadat hij het programma al in zijn workflow had geïntegreerd en geldige meldingen had gedaan, trok OpenAI zonder uitleg zijn toegang in.
Hamilton verklaarde publiekelijk dat hij werd "geblokkeerd om verdere analyses uit te voeren op een codebase waarvoor ik al op verantwoorde wijze meldingen heb gedaan en waarvan ik bevestiging heb gekregen dat er legitieme bevindingen waren" .
De intrekking dwong het Bitcoin Red Team om over te stappen op minder restrictieve AI-modellen, waaronder Chinese open-weight-alternatieven, een verschuiving die breed werd opgemerkt en bekritiseerd als een tegenslag voor de Amerikaanse AI-concurrentiepositie in beveiligingsonderzoek .
OpenAI heeft zijn beweegredenen niet openbaar gemaakt. De FAQ van het Researcher Access Program stelt dat credits naar goeddunken worden toegekend en kunnen worden ingetrokken, maar er wordt geen specifiek beleidsovertreding van Hamilton genoemd .
cointribune.comBitcoin Developers Alert After Discovery of 85 Critical Bugs
Het Bitcoin Red Team is een vrijwilligersinitiatief, mede geleid door de pseudonieme Bitcoin-ontwikkelaar Calle en Rob Hamilton, CEO van het Bitcoin-bewaarplatform AnchorWatch . Begin augustus 2026 voerde de groep een razendsnelle, AI-gesteunde beveiligingsscan uit van het open-source Bitcoin-ecosysteem. In ongeveer 27,5 tot 30 uur auditten zestien security-onderzoekers met behulp van AI-modellen 390 open-source Bitcoin-repositories en dienden zij 4.962 kwetsbaarheidsmeldingen in . De non-profitorganisatie OpenSats betaalde de AI-computerkosten – circa $40.000 in totaal, of ongeveer $10.000 per dag .
Hoe het reageerde op de Coldcard-hack
De campagne was een direct antwoord op de Coldcard-hardwarewallet-exploit van juli 2026. Dit is wat er bij die hack gebeurde:
De kwetsbaarheid: Een firmwarefout, geïntroduceerd in Coldcard-firmwareversie 4.0.0 (maart 2021), zorgde ervoor dat het apparaat tijdens het aanmaken van seed phrases de speciale hardwarematige randomgenerator omzeilde . Hierdoor werden wallet-seed phrases voorspelbaar: de sleutelsterkte daalde van 128 bits tot slechts 40 bits .
De aanval: Vanaf 30 juli 2026 maakten aanvallers misbruik van deze fout om duizenden wallets leeg te halen. De eerste golf trof 1.196 adressen in 41 minuten en stal 1.082,65 BTC (destijds ~$70 miljoen) .
Totale verliezen: Meerdere golven brachten het totaal op meer dan $116 miljoen uit ruim 5.200 adressen, waarbij sommige schattingen zelfs boven de $130 miljoen uitkwamen . Er waren ten minste twaalf verschillende hackers bij betrokken .
Coinkite's reactie: Het bedrijf drong er bij gebruikers op aan de firmware te updaten en hun geld over te zetten, maar tegen die tijd was de schade al aangericht .
Als reactie startte het Bitcoin Red Team zijn audit om soortgelijke fouten in randomgeneratoren, zwakke cryptografische praktijken en andere structurele problemen op te sporen voordat aanvallers ze konden misbruiken .
Belangrijkste bevindingen en methoden
Bevindingen
Metriek
Aantal
Totaal aantal ingediende bevindingen
4.962
Kritieke problemen
85
Ernstige problemen
635
Gecombineerd (kritiek of ernstig)
720
Bevindingen reproduceerbaar bij controle
21,4%
Geauditte repositories
390
Teamgrootte
16 onderzoekers
De enorme hoeveelheid – bijna 5.000 meldingen in één dag – zorgde voor een groot triageprobleem voor de ontwikkelaars die de code moeten onderhouden . Slechts ongeveer een op de vijf bevindingen bleek reproduceerbaar, maar de groep stelde dat het melden van twijfelgevallen gerechtvaardigd was gezien de ernst van de Coldcard-aanval .
Methoden
Het team gebruikte open-weight AI-modellen om codebases te scannen op bekende kwetsbaarheidspatronen, cryptografische zwakheden en logische fouten .
Menselijke onderzoekers stuurden de AI aan, valideerden de resultaten en dienden verantwoorde openbaarmakingsrapporten in .
De groep is van plan zijn AI-beveiligingsprogramma open-source te maken, zodat de bredere gemeenschap geautomatiseerd kan blijven scannen .
Ze richtten zich op wallets, cryptografische bibliotheken en Bitcoin-infrastructuurprojecten – de code die, als die gebreken vertoont, tot een nieuwe Coldcard-ramp zou kunnen leiden .
Waarom OpenAI de toegang van de hoofonderzoeker halverwege het project introk
Rob Hamilton (CEO van AnchorWatch en mede-campagneleider) had zich aangemeld voor OpenAI's "Trust Cyber"-programma, dat goedgekeurde security-onderzoekers gesubsidieerde API-toegang geeft voor kwetsbaarheidsonderzoek . Op 8 en 9 augustus 2026, nadat hij het programma al in zijn workflow had geïntegreerd en geldige meldingen had gedaan, trok OpenAI zonder uitleg zijn toegang in.
Hamilton verklaarde publiekelijk dat hij werd "geblokkeerd om verdere analyses uit te voeren op een codebase waarvoor ik al op verantwoorde wijze meldingen heb gedaan en waarvan ik bevestiging heb gekregen dat er legitieme bevindingen waren" .
De intrekking dwong het Bitcoin Red Team om over te stappen op minder restrictieve AI-modellen, waaronder Chinese open-weight-alternatieven, een verschuiving die breed werd opgemerkt en bekritiseerd als een tegenslag voor de Amerikaanse AI-concurrentiepositie in beveiligingsonderzoek .
OpenAI heeft zijn beweegredenen niet openbaar gemaakt. De FAQ van het Researcher Access Program stelt dat credits naar goeddunken worden toegekend en kunnen worden ingetrokken, maar er wordt geen specifiek beleidsovertreding van Hamilton genoemd .
cointribune.comBitcoin Developers Alert After Discovery of 85 Critical Bugs
finance.yahoo.com85 Critical Flaws Found as AI-Powered Bitcoin Security Audit ...
spendnode.ioBitcoin Red Team Flags 4,962 Security Issues in a 30-Hour Sprint
trmlabs.comThe Largest Hardware Wallet Exploit of 2026 - TRM Labs
cryptobriefing.comBitcoin Red Team files 4962 findings in 27.5 hours during ...