Coldcard-hack loopt op tot $111 miljoen: wat dit betekent voor jouw hardware wallet

In dit artikel:

Onderzoeksbureau Galaxy Research meldde op 8 augustus dat aanvallers al 1.719 bitcoin, met een waarde van ongeveer 111 miljoen dollar, hebben buitgemaakt door een kwetsbaarheid in Coldcard-hardware wallets. De totale schade kan volgens de onderzoekers oplopen tot meer dan 130 miljoen dollar. De diefstallen kwamen sinds 30 juli in meerdere golven aan het licht en lijken door verschillende, onafhankelijke aanvallers te zijn uitgevoerd.

De fout ontstond bij een firmware-integratie uit maart 2021. Bij sommige Coldcard Mk3-, Mk4-, Mk5- en Q-modellen werd de seed phrase niet goed gegenereerd door de hardwarematige randomgenerator, maar door het voorspelbare software-algoritme Yasmarang in MicroPython. Daardoor hadden bepaalde seeds veel minder willekeur dan vereist. Aanvallers konden op basis van onder meer het apparaat-ID, timergegevens en eerdere willekeurige getallen mogelijke seeds offline berekenen. Door die te vergelijken met openbare blockchaingegevens konden zij wallets met saldo identificeren en leegmaken zonder fysieke toegang tot het apparaat.

Coldcard-maker Coinkite bracht op 31 juli noodfirmware uit, maar een update beschermt wallets waarvan de seed al voorspelbaar of gecompromitteerd is niet. Gebruikers van getroffen modellen wordt daarom aangeraden de firmware bij te werken, een volledig nieuwe seed te maken en hun bitcoin zo snel mogelijk naar een nieuwe wallet over te zetten. Coinkite heeft bovendien het automatisch wissen van klantgegevens na 120 dagen tijdelijk opgeschort, mede vanwege mogelijke rechtszaken.

Ledger en Trezor zeggen dat hun apparaten niet door deze kwetsbaarheid zijn getroffen. Zij gebruiken andere firmware en architecturen, waaronder bij Trezor meerdere bronnen voor het genereren van willekeur. De zaak onderstreept dat self-custody de verantwoordelijkheid bij de gebruiker legt, maar hardware wallets niet automatisch onkwetsbaar maakt.