Coldcard-hacket: Den största stölden från en hårdvaruplånbok någonsin

Angriparen behövde varken fysisk åtkomst, nätfiske-e-post eller skadlig kod. Genom att reverse-engineera den försvagade slumpmässigheten kunde de rekonstruera offrens 12- eller 24-ordiga seed-fraser på distans och tömma plånböcker som aldrig hade varit anslutna till internet .

Coldcards vd Rodolfo Novak bekräftade problemet den 30 juli 2026 och antydde att sårbarheten kan ha upptäckts med hjälp av AI-verktyg som kan skanna open source-firmware efter entropisvagheter i stor skala .

Omfattning och tidslinje för stölden

Attacken utfördes i flera samordnade vågor:

• 30 juli – första vågen: I en svepning på 25 minuter som startade runt 21:56 ET tömde angriparen cirka 594 BTC (~38 miljoner dollar) från ungefär 500 plånböcker, med de största saldona prioriterade först . Chainalysis fann att 30 miljoner dollar stals under de första 10 minuterna .
• 31 juli – 4 augusti – andra och tredje vågen: Ytterligare svepningar drev förlusterna till 1 596 BTC (~100 miljoner dollar+) över cirka 7 300 adresser .
• Misstänkt fjärde våg: Galaxy Research flaggade en möjlig fjärde våg som, om den bekräftas, skulle bringa totalsumman till 2 055 BTC (~130 miljoner dollar) .

I början av augusti klassificerade TRM Labs Coldcard-incidenten som den tredje största kryptostölden 2026 . Galaxy Research identifierade minst 15 separata angripare som nu kapplöper om att exploatera överblivna sårbara plånböcker .

7 augusti: 30,185 BTC (1,94 miljoner dollar) flyttas

Den 7 augusti 2026 överförde en plånbok kopplad till Coldcard-hacket 30,185 BTC (~1,94 miljoner dollar) till en nyskapad adress, enligt kedjespårningsföretaget Lookonchain . Detta var den första rörelsen av stulna medel sedan de ursprungliga attackerna.

• Överföringen representerade ungefär 1,5 % av det totala bytet på 2 055 BTC .
• Analytiker tolkade det som en potentiell testtransaktion eller ett första steg mot en större kontantuttag .
• Bitcoin-priset reagerade knappt och handlades runt 64 152 dollar vid tillfället .

90 % av stulna medel ligger fortfarande orörda

Efter överföringen den 7 augusti är cirka 98,5 % av de stulna ~2 055 BTC fortfarande orörda i hackarens plånböcker . Detta mönster är typiskt för sofistikerade angripare som väntar i månader eller år innan de försöker tvätta stora summor. Blockchain-forensiska företag och börser övervakar adresserna noggrant .

Coinkites svar och firmware-uppdatering

Coinkite agerade snabbt efter att sårbarheten upptäcktes den 30 juli:

• 30 juli – Utfärdade en akut säkerhetsrekommendation som offentliggjorde buggen .
• 31 juli – Skickade ut akut patchar för alla berörda modeller och release-spår :

Viktig varning: Att installera den patchade firmwaren reparerar inte en redan komprometterad seed. Coinkite uppmanade alla drabbade användare att generera en ny seed på patchad firmware och omedelbart flytta sina mynt . Företaget förstörde också återstående lager tillverkade med sårbar firmware och stoppade leveranser .

Berörda firmware-versioner

• Högst risk: Mk3 firmware 4.0.1 till 4.1.9, seed-fraser skapade utan minst 50 oberoende tärningskast eller en stark, unik BIP-39-lösenfras
• Även påverkade: Mk4, Mk5 och Q-modeller före de fasta firmware-versionerna ovan
• Inte påverkade: Seed-fraser skapade före det sårbara firmware-fönstret; seed-fraser med 50+ tärningskast; seed-fraser skyddade av en unik BIP-39-lösenfras; TAPSIGNER-, OPENDIME- och SATSCARD-enheter (olika kodbaser); samt multisig-installationer med minst en icke-sårbar nyckel

Konsekvenser för självförvaring och kryptogemenskapen

• Hårdvaruplånböcker är inte ofelbara. Coldcard-incidenten krossade antagandet att offline-plånböcker är immuna mot fjärrstöld av seed-fraser . Felet låg oupptäckt i firmware i över fem år.
• Seed-fraser skapade på sårbar firmware är permanent komprometterade. Även efter att fixen har installerats förblir gamla seed-fraser gissningsbara . Användare måste skapa helt nya plånböcker och flytta sina tillgångar.
• Bredare marknadsoro. Glassnode rapporterade att cirka 210 000 BTC flyttades från långtidshållares plånböcker (inaktiva i 155+ dagar) under veckan efter hacket – den största sådana förflyttningen sedan 2024 – vilket tyder på en utbredd förtroendeförlust bland Bitcoin-användare som använder självförvaring .
• AI-driven granskning accelererar. Säkerhetsforskare noterade att attacken sannolikt underlättades av AI-verktyg som kan skanna open source-firmware efter entropisvagheter i stor skala, en förmåga som nu snabbt antas inom alla hårdvaruplånboksprojekt .
• "Jag gjorde allt rätt" räcker inte längre. Många offer följde bästa praxis för självförvaring och förlorade ändå allt, vilket understryker att firmware-integritet är den nya frontlinjen för risker med hårdvaruplånböcker .

• Mk3: version 4.2.0 eller senare
• Mk4/Mk5 standard: version 5.6.0 eller senare
• Q standard: version 1.5.0Q eller senare
• Mk4/Mk5 Edge: version 6.6.0X eller senare
• Q Edge: version 6.6.0QX eller senare