Kwetsbaarheid in Coldcard-firmware: fout in RNG-seed leidt tot diefstal van ~112 miljoen BTC

De kwetsbaarheid in de firmware van Coldcard heeft de zorgen over self-custody vergroot nadat onderzoekers aanvallen hebben gekoppeld aan een RNG-fout (random number generator) in de seed-phrase. Het latere rapport zegt dat de eerste golf begon op 30 juli 2026, waarbij ongeveer 1.083 BTC in 41 minuten werd afgetapt van 1.000+ adressen, gevolgd door extra diefstalgolven. Dit was geen breuk in de Bitcoin-blockchain. In plaats daarvan hangt de Coldcard-firmwarekwetsbaarheid samen met de willekeurige getallengeneratie die wordt gebruikt om mnemonic seed-phrases te maken. Als seedgeneratie voorspelbaar wordt, kunnen aanvallers de mogelijke seeds beperken, mogelijk private sleutels afleiden en de getroffen wallets leegmaken. Volgens berichten bleven de verliezen toenemen tot medio augustus, met totale diefstalcijfers rond $112 miljoen (in de orde van honderden miljoenen), verspreid over duizenden adressen. De hoofdoorzaak wordt herleid tot een Coinkite-firmware-update die in 2021 is uitgebracht, waarbij eerdere meldingen ook wezen op een entropievermindering. Cruciaal is dat een firmware-update mogelijk niet beschermt tegen fondsen die zijn veiliggesteld met eerder gegenereerde seeds. De guidance van Coinkite benadrukt om te updaten naar firmware 4.2.0+ en seed-phrases opnieuw te genereren; gebruikers moeten mogelijk geld verplaatsen. Het bedrijf stelde ook voor om sterkere BIP-39 passphrases te gebruiken als extra laag en zei dat het is begonnen met het vernietigen van de resterende kwetsbare voorraad. Voor traders is de markttakeaway risicobeheer: incidenten die zich richten op holdings op adresniveau kunnen het sentiment snel veranderen. Verwacht hernieuwde aandacht voor operationele hygiëne en mogelijk multi-signature-opstellingen om het risico van compromittering van één apparaat te beperken.