Coldcard-firmwarefout: diefstal van 100M+ BTC bevestigd, mogelijke 4e golf
Galaxy Research stelt dat de firmwarefout van Coldcard die tot diefstallen leidde, nu is bevestigd: 1.596 BTC (ongeveer $100M+) is gestolen van zo’n 7.300 adressen via drie grote aanvalsepisodes en 14 kleinere incidenten. Een vermoedelijke vierde golf is mogelijk met middelhoge tot hoge zekerheid; dat zou de totale verliezen kunnen verhogen tot 2.055 BTC (ongeveer $130M). Galaxy heeft de vierde golf buiten de “bevestigde” totalen gehouden omdat slachtoffers nog niet hebben teruggekoppeld. Tot nu toe hebben 73 slachtoffers contact opgenomen en geholpen om de eerste drie golven te verifiëren.
On-chain is ongeveer 90% van de gestolen bitcoin nog niet verplaatst. Adressen van aanvallers en slachtoffers zijn gedeeld met Amerikaanse federale handhavingsinstanties, exchanges en cyberonderzoekers, terwijl opsporings-/sweep-acties (sweeps) nog gaande zijn. Galaxy koppelt het incident aan een buildfout in een Coldcard-firmwareversie uit maart 2021: een configuratie-instelling heeft de hardware-randomnumbergenerator van het apparaat overgeslagen en bij het genereren van sleutels is teruggevallen op een softwarevervanger die werd gesdeeld met zaaddata op basis van chipserienummer- en timergegevens. Een gefixt firmwarepakket is op 31 juli uitgebracht, maar kan geen seeds herstellen die al waren gegenereerd met de kwetsbare setup.
Voor traders is de directe markteffect op BTC waarschijnlijk beperkt, maar berichten over de Coldcard-firmwarefout kunnen het risicosentiment rond self-custody tijdelijk beïnvloeden. De langetermijnimplicatie is een grotere focus op operationele beveiliging, vooral voor gebruikers die na het bekend worden van de kwetsbaarheid updates van Coldcard firmware hebben uitgesteld.
Neutral
Dit is in de eerste plaats een incident rond een hardwarewallet met self-custody. Hoewel de bevestigde Coldcard-firmwarekwetsbaarheid die tot de diefstal leidde nu al meer dan $100 miljoen bedraagt en een mogelijke 4e golf de verliezen tot ongeveer $130 miljoen zou kunnen opdrijven, merkt Galaxy op dat ongeveer 90% van de gestolen BTC nog niet is verplaatst. Dat verlaagt de onmiddellijke verkoopdruk op beurzen als gevolg van deze specifieke hack.
Op korte termijn: traders kunnen tijdelijk een risk-off sentiment zien door nieuws over self-custody en beveiliging, maar de prijsimpact van BTC is waarschijnlijk beperkt zonder aanwijzingen voor een grote, op handen zijnde distributie naar liquiditeitsplatformen.
Op lange termijn: een focus op operationele beveiliging kan ertoe leiden dat meer gebruikers firmware-updates uitvoeren of seeds migreren, maar dit is eerder een structurele gedragsverandering dan een directe vraag-schok naar BTC. Over het geheel genomen verhoogt de informatie-uitstroom de bezorgdheid, maar het vertaalt niet duidelijk naar bearish fundamentals voor BTC op korte termijn.