Was de Coldcard-hack $38 miljoen, $89 miljoen of $130 miljoen? Dit is wat werkelijk is gestolen
Eén hack, zes bedragen en een hoop ruis. Bij Coldcard gaat het niet om de vraag of er geld weg is, maar welk deel hard bewezen is.
De beste stand ligt nu op 1.596 BTC. Dat is met hoge zekerheid aan de Coldcard-aanvallen gekoppeld, schrijft Galaxy Research op X.
Bij een Bitcoin-prijs van ongeveer $64.429 gaat het om ruim $102 miljoen. Dat dollarbedrag beweegt elk uur mee met BTC. Het aantal gestolen bitcoin is daarom de scherpere maatstaf.
Waarom $38 miljoen, $89 miljoen en $130 miljoen rondgaan
De verwarring begon bij de eerste telling. Toen werd ongeveer 594 BTC genoemd. Dat kwam neer op circa $38 miljoen bij de toenmalige koers.
Die stand was geen eindbedrag. Het was een vroege scan van getroffen adressen.
Later werd een grotere eerste golf zichtbaar. In korte tijd werd meer dan 1.000 BTC verplaatst uit ruim duizend adressen. Daardoor sprongen schattingen richting $70 miljoen.
Na nieuwe clusters kwam de teller rond 1.367 BTC te liggen. Dat verklaart het bedrag van bijna $89 miljoen.
Daarna volgden bredere scans. Sommige tellingen namen verdachte transacties mee die nog niet volledig als diefstal waren bevestigd. Zo ontstonden bedragen rond $116 miljoen.
De $130 miljoen is opnieuw iets anders. Dat is geen conservatief bevestigd verlies, maar een mogelijke bovengrens als een vierde aanvalsgolf volledig meetelt.
1.596 BTC is de harde stand
Galaxy Research trekt nu de belangrijkste grens. Met hoge zekerheid gaat het om 1.596 BTC uit ongeveer 7.300 adressen.
Die adressen kwamen uit drie bevestigde aanvalsgolven en veertien kleinere incidenten. Galaxy noemt ook 73 slachtoffers die hielpen bij het controleren van patronen.
Die 7.300 adressen betekenen niet automatisch 7.300 slachtoffers. Eén wallet kan veel Bitcoin-adressen gebruiken.
Dat onderscheid doet ertoe. Adressen meten onchain beweging. Slachtoffers meten mensen of entiteiten.
Mogelijke vierde golf tilt schade richting 2.055 BTC
Boven op de 1.596 BTC kijkt Galaxy naar een vermoedelijke vierde aanvalsgolf. Als die volledig wordt bevestigd, stijgt de schade naar ongeveer 2.055 BTC.
Bij de huidige BTC-prijs is dat ruim $132 miljoen.
Maar die extra stap is nog niet hard genoeg voor de hoofdstand. Galaxy houdt de vermoedelijke golf apart, omdat nog niet genoeg walletbezitters die transacties hebben bevestigd.
Een kop met “$130 miljoen definitief gestolen” loopt dus te ver vooruit. Het bedrag is een geloofwaardige bovengrens, geen bewezen eindcijfer.
De zuivere lezing is simpel: 1.596 BTC bevestigd, 2.055 BTC mogelijk. Alles in dollars is koersruis erbovenop.
Het probleem zat niet in Bitcoin zelf
De aanval kwam niet door een fout in het Bitcoin-protocol. De zwakke plek zat in de manier waarop bepaalde Coldcard-firmware herstelzinnen aanmaakte.
Coinkite, het bedrijf achter Coldcard, schrijft in zijn security advisory dat fondsen risico lopen wanneer de seed is gemaakt met getroffen firmware, zonder voldoende eigen dice rolls en zonder sterke BIP-39-passphrase.
Een seed is de herstelzin waarmee een wallet opnieuw kan worden geopend. Wie die seed kan reconstrueren, kan ook bij de coins.
Block Engineering beschrijft in zijn analyse dat Coldcard-firmware in bepaalde gevallen terugviel op een voorspelbare softwarematige random generator, in plaats van de bedoelde hardwarematige bron.
Dat is dodelijk voor self-custody. Een hardware wallet moet vooral één ding goed doen: sterke, niet-raadbare sleutels maken.
Updaten repareert oude seeds niet
Coinkite heeft fixed firmware uitgebracht voor getroffen modellen. Voor Mk2 en Mk3 gaat het om versie 4.2.0 of hoger. Voor Mk4 en Mk5 noemt Coinkite 5.6.0 of hoger, en voor Q 1.5.0Q of hoger.
Maar er zit een harde beperking aan.
Een firmware-update maakt een oude zwakke seed niet alsnog veilig. Coinkite zegt expliciet dat gebruikers een nieuwe seed moeten maken en hun fondsen moeten verplaatsen.
Dat betekent: eerst updaten, dan een nieuwe wallet aanmaken, dan een klein testbedrag sturen, en pas daarna de rest verplaatsen. Wie haast maakt en fouten maakt, kan zichzelf alsnog raken.
Meerdere aanvallers maken het beeld vuiler
De eerste grote golven lijken duidelijke patronen te hebben. Later wordt het rommeliger.
Zodra een kwetsbaarheid publiek is, gaan andere aanvallers zoeken naar dezelfde zwakke plekken. Galaxy’s Alex Thorn schreef op X dat er nu meerdere aanvallers lijken te zijn die de Coldcard-kwetsbaarheid uitbuiten.
Dat maakt tellen lastiger. Niet iedere verdachte transactie hoort automatisch bij dezelfde dader. En niet iedere verplaatsing uit een Coldcard-adres is diefstal.
Sommige gebruikers kunnen hun BTC zelf naar een nieuwe wallet hebben gestuurd. Onchain ziet dat er van buiten soms verdacht uit.
Daarom is het verschil tussen “verdacht”, “waarschijnlijk” en “bevestigd” hier geen nuance. Het is het hele verhaal.
Wat Nederlandse en Belgische gebruikers moeten controleren
Ook in Nederland en België geldt: wie ooit een Coldcard gebruikte om een seed te maken, moet de officiële Coinkite-instructies lezen.
Vooral gebruikers zonder sterke BIP-39-passphrase en zonder voldoende eigen dice rolls zitten in de risicogroep. Een pincode op het apparaat telt daarbij niet als passphrase.
Een sterke passphrase kan een extra barrière vormen, maar repareert de seed zelf niet. Coinkite raadt ook passphrase-gebruikers aan om uiteindelijk te migreren wanneer hun seed onder de getroffen groep valt.
Dit is geen beurslek en geen fout in blockchain. Het is een falende sleutelgeneratie bij een hardware wallet. Dat maakt de schade juist zo hard voor mensen die dachten veilig offline te zitten.
De werkelijke buit blijft in BTC tellen
De vraag uit de kop heeft dus drie antwoorden.
$38 miljoen hoorde bij de eerste scan van ongeveer 594 BTC. $89 miljoen hoorde bij een latere stand van ongeveer 1.367 BTC. $130 miljoen hoort bij de mogelijke bovengrens als de vierde golf volledig wordt bevestigd.
De beste bewezen stand blijft 1.596 BTC. Omgerekend is dat nu ongeveer $103 miljoen.
De mogelijke bovengrens ligt rond 2.055 BTC, of ruim $132 miljoen bij de huidige prijs.
De les is ongemakkelijk. Hardware wallets halen risico niet weg. Ze verplaatsen het naar code, firmware, procedures en herstelzinnen. Als die laag breekt, ligt zelfs cold storage open.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
