Coldcard-hack onthult lang verborgen zaad-randomness-fout

Volgens meldingen zou de Coldcard-hack bijna 114 miljoen dollar aan BTC hebben gestolen van 709+ adressen. Een firmwarefout zou wallet seeds hebben gegenereerd met veel minder willekeurigheid dan was beloofd. De eerste “sweep” zou naar verluidt ongeveer 500 wallets binnen 25 minuten hebben leeggehaald. Het probleem zou in maart 2021 in de codebase van Coldcard zijn gekomen en was naar verluidt meer dan vijf jaar zichtbaar gebleven, ondanks dat de broncode publiek toegankelijk was. Het latere artikel voegt een bredere “vertrouwenskloven”-invalshoek toe: het stelt dat het falen werd gevormd door processen en prikkels, waaronder licentiewijzigingen en een gerelateerde doorbraak in seed-gegenereerde functionaliteit die in dezelfde commit van maart 2021 werd geïntroduceerd. Ook bespreekt het de pushback van onderzoekers opnieuw. Openbaringen die verband hielden met Shift Crypto en Nunchuk (augustus 2020) werden met scepsis ontvangen, en latere pogingen om oudere problemen te reproduceren werden met vijandigheid beantwoord, zelfs met juridische dreigementen. De zorg voor traders is praktisch: firmware-updates kunnen mogelijk niet de schade verhelpen die is veroorzaakt door seed’s die al waren gegenereerd op kwetsbare versies, dus migratie en handmatige overboekingen van fondsen zijn van belang. Na het incident zouden de geldstromen naar exchanges weer positief zijn geworden (OKX noemde recordinstromen) en zou de vraag naar spot BTC ETF’s zijn toegenomen (bijv. IBIT/FBTC). Voor traders kan de Coldcard-hack zorgen voor meer volatiliteit op korte termijn rond verhalen over BTC-custody en walletbeveiliging, terwijl de langetermijneffecten afhangen van snellere security-reviews en duidelijke richtlijnen in documentatie en media. Belangrijkste les van de Coldcard-hack: beschouw self-custody met één apparaat als hoger risico en geef prioriteit aan geverifieerde procedures (audit trail, migratie en veiligere multi-sig-praktijken), zelfs na “nood”-firmware-updates.