$130M Coldcard-hacket: En firmwarebugg från 2021 knäckte Bitcoins säkraste plånböcker och skickade miljarder till ETF:er

Det här är berättelsen om hur ett enda byggkonfigurationsfel förvandlade en flaggskeppsprodukt för säkerhet till en maskin som genererade förutsägbara privata nycklar – och varför efterspelet nådde ända in på marknaden för spot-bitcoin-ETF:er.

Hur Coldcard-exploiten fungerade

Coldcards hårdvaruplånböcker, tillverkade av kanadensiska Coinkite, byggdes för ett enda syfte: hyper-säker bitcoin-förvaring. Kärnan i konceptet var att privata nycklar aldrig lämnade enheten, och att seed-genereringen skulle hämta slumpmässighet från en dedikerad hårdvarubaserad slumptalsgenerator (RNG) .

Buggen: I mars 2021 släppte Coinkite firmware-version 4.0.0 som innehöll ett byggkonfigurationsfel. I stället för att leda seed-frasgenereringen genom den dedikerade hårdvaru-RNG:n, föll firmwaren tyst tillbaka på en mjukvarubaserad pseudoslumpgenerator (PRNG) . En intern flagga – MICROPY_HW_ENABLE_RNG = 0 – hade helt enkelt stängt av hårdvaruvägen för slumpmässighet .

Konsekvensen: Säkerheten i seed-genereringen kollapsade. En säker hårdvarugenererad seed erbjuder 128 bitars nyckelutrymme – det vill säga 2¹²⁸ möjliga värden, vilket är astronomiskt stort och praktiskt taget omöjligt att brute-forcea. Mjukvarans fall-back reducerade det till så lite som 40 bitar, eller ungefär 4 miljarder möjliga värden . För en tillräckligt bestämd angripare med rätt information var det nyckelutrymmet litet nog att räkna igenom på distans.

Angriparna kunde rekonstruera seed-fraser genom att kombinera enhetsserienummer, klockavläsningar och annan offentligt observerbar data med det begränsade nyckelutrymmet . De genererade kandidat-seeds på sina egna maskiner, härledde adresser och kontrollerade dem mot bitcoin-blockkedjan för att hitta plånböcker med saldon. Hela attacken krävde ingen fysisk åtkomst till någon offers enhet .

Attackvågornas tidslinje

Exploiten utvecklades i flera vågor, med den mest aggressiva aktionen under de första timmarna.

• Våg 1 (30 juli, cirka 10 minuter): Den primära angriparen prioriterade de största plånböckerna och tömde cirka 30 miljoner dollar i bitcoin .
• Våg 1 förlängd (25 minuter): Inom 25 minuter hade över 38 miljoner dollar tömts från cirka 500 plånböcker .
• Våg 1 full (41 minuter): Galaxy Research kartlade den första svepningen som 1 082,65 BTC (cirka 70,2 miljoner dollar då) som tömdes från 1 196 adresser på 41 minuter .
• Efterföljande vågor: I början av augusti bekräftade Galaxy tre stora attackvågor och 14 mindre incidenter, med minst ett dussin olika hackare som aktivt riktade in sig på Coldcard-användare . Det totala antalet drabbade adresser växte till över 5 200, med vissa uppskattningar på 7 300 .

Den 4 augusti hade Galaxy Research hög förtroende för att 1 596 BTC hade stulits, med obekräftade förluster som tillförde ytterligare 30 miljoner dollar . Den totala skadan landade på cirka 130 miljoner dollar .

Kedjereaktionen: Massflykt från Coldcard

Hacket utlöste en omedelbar migration. Bitcoin noterade 2,27 miljoner nya plånböcker och 751 000 aktiva plånböcker under första veckan i augusti – den starkaste kedjeaktiviteten på månader – när innehavare skyndade sig att flytta tillgångar från Coldcard-enheter .

Avgörande nog kunde en uppdatering av firmware inte åtgärda en redan påverkad seed. Den enda lösningen var att generera en ny seed med patchad firmware och noggrant migrera tillgångarna . Detta innebar att varje plånbok vars seed hade skapats på sårbara firmware-versioner (4.0.1 till 5.0.3, som påverkar Mk2- och Mk3-modeller) var permanent i riskzonen tills användaren manuellt flyttade mynten .

ETF-inflödesruschen: 853,5 miljoner dollar på en vecka

Under den första veckan i augusti 2026 noterade USA:s spot-bitcoin-ETF:er nettoinflöden på 853,5 miljoner dollar – den bästa veckan sedan april 2026 . Inflödena var breda men koncentrerade till toppen:

• Daglig fördelning: 170 miljoner dollar på måndagen, 211,5 miljoner på tisdagen, 244,4 miljoner på onsdagen, 128,7 miljoner på torsdagen och 98,9 miljoner på fredagen .
• Ledare: BlackRocks iShares Bitcoin Trust (IBIT) stod för cirka 693 miljoner dollar av veckans totala inflöde, eller omkring 81 % av alla inflöden .
• Fidelitys FBTC kom tvåa med 116,5 miljoner dollar .

ETF-ruschen följde på en åtta veckor lång utflödesperiod som hade dränerat 8,26 miljarder dollar fram till början av juli . Vändningen var skarp och plötslig – och dess sammanträffande med Coldcard-hacket väckte omedelbart spekulationer.

Debatten: Hack vs. makro – vad drev flödena?

Timingen var slående. Coldcard-attacken blev offentlig den 30–31 juli. ETF-inflödesruschen började måndagen den 3 augusti. Men samma vecka, fredagen den 7 augusti, publicerade USA:s arbetsmarknadsdepartement en chockerande svag jobbrapport för juli. Båda händelserna kan ha drivit ETF-köp, och analytiker är oense om vilken som var den primära orsaken.

Argument för hacket som drivkraft

• Direkt timing: ETF-inflödena började bara dagar efter att Coldcard-exploiten blev allmänt känd .
• Förvaringskris: Hacket underminerade direkt förtroendet för självförvaring. Det gamla kryptomantrat "not your keys, not your coins" vändes – i det här fallet ledde det till förluster att ha sina egna nycklar. En Bloomberg-analytiker noterade att incidenten "eldade på debatten" om huruvida vissa investerare omvärderade självförvaring och skiftade till reglerade förvaringsinstitut som ETF-leverantörer .
• Kedjebaserade bevis på migration: Spiken i nya plånboksskapanden och fondförflyttningar bort från Coldcard-enheter var förenlig med en flykt till förvaring .

Argument för makro som drivkraft

• Jobbsmällen: Den amerikanska jobbrapporten för juli visade en förlust på 23 000 jobb, mot en konsensusprognos på en ökning med 80 000. Tidigare månader reviderades ner med ytterligare 103 000 jobb .
• Räntebana omvärderas: Sannolikheten för en räntehöjning från Fed i september kollapsade från 55 % till 20 % . Marknaderna prissatte omedelbart in en paus i höjningarna, vilket är en starkt hausseartad katalysator för riskfyllda tillgångar som bitcoin.
• Bitcoinprisets reaktion: Bitcoin hoppade över 65 000 dollar efter jobbsiffran .
• Tidigare makrokänslighet: Den åtta veckor långa ETF-utflödesperioden hade redan brutits i början av juli, efter den svaga jobbrapporten för juni (57 000 jobb, väl under förväntningarna) som också utlöste en inflödesdag på 221,7 miljoner dollar . Detta tydde på att ETF-flödena redan hade blivit återkänsliga för makroförhållanden före Coldcard-exploiten.

Var landar bevisen?

De flesta analytiker som tillfrågats av större medier drog slutsatsen att ETF-ruschen sannolikt drevs av båda krafterna som verkade i samma riktning . Hacket gav en mikro-motivering till "flykt till förvaring" – en konkret anledning för självförvarande innehavare att omvärdera sin säkerhetslösning. Den svaga jobbrapporten gav en makro-mässig "risk-på-katalysator" – den typ av bred penningpolitisk förändring som driver institutionellt kapital till alla riskfyllda tillgångar, inklusive bitcoin.

Som en Bloomberg-analytiker uttryckte det är det orsakssambandet mellan hacket och ETF-inflödena "oklart", men sammanträffandet har "eldat på debatten" . En analys från MSN Money konstaterade att hacket gav en "bekväm berättelse" för en förändring som kan ha varit makrodriven, men noterade att förvaringsfrågan nu var "i centrum" för första gången sedan de tidiga dagarna av bitcoin-ETF:er .

Vad som är klart: veckan med inflöden på 853,5 miljoner dollar var den starkaste sedan april, och två stora händelser – ett en gång i generationen misslyckande för en hårdvaruplånbok och en chockartad jobbrapport – sammanföll inom samma tidsfönster. Både förvaringsfrågan och makroutsikten är nu mer osäkra än de var före den veckan. Den osäkerheten, snarare än ett entydigt svar, är den verkliga slutsatsen.