Coldcard-update na megahack: dobbelsteen wordt beveiligingslaag

In dit artikel:

Fabrikant Coinkite heeft de beveiliging van zijn Coldcard-hardwarewallets aangescherpt nadat door een firmwarefout meer dan 100 miljoen dollar aan Bitcoin werd gestolen. De fout zat sinds maart 2021 in de software en zorgde ervoor dat sommige seed phrases, de herstelwoorden van een wallet, veel minder willekeurig waren dan bedoeld. Volgens TRM Labs kon de effectieve beveiliging daardoor in bepaalde gevallen dalen van 128 naar ongeveer 40 bits. Aanvallers hadden geen fysieke toegang tot de apparaten nodig. Galaxy Research meldde op 14 augustus dat 1.778 BTC als gestolen was bevestigd, destijds goed voor circa 112 miljoen dollar.

Bij het aanmaken van een nieuwe seed phrase moeten gebruikers voortaan zelf extra willekeur toevoegen. Dat kan door minimaal 65 willekeurige toetsen in te drukken, 50 keer met een dobbelsteen te gooien of 128 keer een munt op te werpen. Coldcard combineert die invoer met de eigen willekeurige gegevens van het apparaat.

Een firmware-update alleen beschermt mogelijk getroffen gebruikers niet, omdat bestaande seed phrases daardoor niet veranderen. Zij moeten een nieuwe wallet maken en hun Bitcoin overzetten. Coinkite voert daarnaast extra controles uit op transacties vlak voor ondertekening, USB-verbindingen en de interne generator voor willekeurige gegevens. De advertentie over een XRP-bonus bij Bitvavo staat los van het beveiligingsnieuws.