Eerst dit: onderneem actie
Je hardware wallet ligt offline in een kluis, je seed heeft nooit een internetverbinding gezien, en toch kan je Bitcoin gestolen worden. Dat klinkt onmogelijk. Het gebeurt op moment van publicatie nog steeds.
Gebruik je een Coldcard en heb je daarop een single signature seed gemaakt zonder passphrase en zonder dobbelstenen? Dan loop je risico. Het gaat om de MK2 en MK3 met firmware 4.01 tot en met 4.19, de MK4 en MK5 met standaard firmware en de Coldcard Q met standaard firmware. Vrijwel de hele Coldcard-lijn dus. Er zijn firmware updates, maar die maken een bestaande zwakke seed niet alsnog veilig. Wat je moet doen is simpel: verplaats je Bitcoin naar een andere wallet of een exchange, weg van je Coldcard. Zorgvuldig, niet gehaast, maar wel met spoed. Ben je op vakantie en kun je er niet bij? Bel een familielid, laat je seed voorlezen, zet hem in Blue Wallet en verstuur je Bitcoin direct naar een exchange. Drastisch? Zeker. Maar er is een serieuze hack gaande. [00:03]
Wat er gebeurde
De Coldcard hardware wallets hebben jarenlang seeds gegenereerd met veel minder entropie – veel minder willekeur – dan gebruikers mochten verwachten. Aanvallers konden daardoor Bitcoin stelen zonder het fysieke apparaat ooit in handen te hebben of zelfs maar te zien. Het probleem zat niet in het apparaat zelf, maar in de seeds die het ooit had aangemaakt.
De eerste golf was chirurgisch. In 41 minuten, verspreid over zes blokken op de Bitcoin blockchain, verdween 1.082 Bitcoin uit 1.196 adressen. Zo'n $70 miljoen. Elke transactie betaalde exact dezelfde fee en er bleef nergens wisselgeld achter: duidelijk het werk van één geautomatiseerd systeem dat lijsten met adressen leegtrok. En het pijnlijkste: de gestolen munten stonden gemiddeld al drie jaar op hetzelfde adres. Dit waren geen traders, dit waren holders. Mensen die sparen voor hun Bitcoin-pensioen. De teller van on-chain onderzoeksbureau Galaxy Research stond een paar dagen later op 1.367 Bitcoin – zo'n $88 miljoen – uit meer dan 4.500 adressen. En de aanval loopt nog door. [06:02]
Alles goed gedaan, alles kwijt
Eén van de getroffenen is de Canadese ondernemer Jonathan Goodman. Zijn 18,25 Bitcoin, ruim 1,6 miljoen Canadese dollar, verdween in ongeveer zeven minuten. Van een Coldcard die in een bankkluis lag en nooit online was geweest. Zijn woorden: "Het moeilijkste is misschien nog wel dat ik alles goed heb gedaan."
Fabrikant Coinkite maakte het er niet beter op. De eerste waarschuwing kwam pas zo'n 30 uur na de eerste golf, en die bleek te smal: alleen de MK3 zou geraakt zijn. Dertien uur later werd dat teruggedraaid en bleken ook de MK4, MK5 en Coldcard Q kwetsbaar. Ondertussen ging het leegtrekken gewoon door: in een nieuwe golf verdween nog eens 208 Bitcoin uit ruim 1.900 adressen. Ook in onze eigen Satoshi Radio en Bitcoin Alpha community kregen we berichten van mensen bij wie Bitcoin gestolen was. Bitcoin die soms voor kinderen gespaard was. Dat doet gewoon pijn. [07:15]
In de spiegel kijken
Van alle hacks die we in tien jaar Bitcoin hebben meegemaakt, raakt deze misschien wel het hardst. Niet omdat we zelf Bitcoin verloren, maar omdat het ging om mensen die zich inlazen, een hardware wallet kochten, self custody deden en hun seed offline bewaarden – en dan alsnog alles kwijtraakten.
Tegelijkertijd zijn we trots op wat we de afgelopen jaren in de community hebben opgebouwd. Ja, ook wij hebben de Coldcard aangeraden. Maar we zijn altijd scherp blijven kijken, zonder de oogkleppen die in de Bitcoin-maximalistische wereld soms worden opgezet. In onze tutorials adviseerden we altijd een passphrase bovenop je seed, nooit alleen een seed. We hamerden op optionaliteit: meerdere hardware wallets, van Trezor tot SeedSigner, multisig-tutorials en bedrijven als Casa. En de wallet health check die we samen in onze Discord uitvoerden, betekende dat veel community members precies wisten hoe ze snel moesten handelen. Vrijdagochtend stuurden we direct een waarschuwingsmail, en meerdere mensen lieten weten dat ze daardoor op tijd hun pensioen veilig konden stellen.
Toch is dit ook voor ons een spiegelmoment. Ook wij dachten dat de Coldcard in essentie een goede wallet was. De les: leun nooit op één bedrijf. Niet op één exchange, en ook niet op één aanbieder van hardware wallets. De komende tijd nemen we de risico's van self custody opnieuw grondig onder de loep. [10:48]
De markt in het kort
Bitcoin begon de week rond $65.200 en zakte naar ongeveer $62.700, een daling van zo'n 3,8%. Ethereum staat rond $1.850 en de Fear & Greed Index schommelt rond de 28: angst, maar niet de extreme angst van de maanden ervoor. De Federal Reserve hield de rente op 3,5 tot 3,75%, al wilden drie van de twaalf stemmers juist verhogen – de markt schat de kans op een renteverhoging in september op zo'n 60%. Rond Iran was er juist ontspanning: Trump blies geplande aanvallen op Iraanse energiedoelen af en Brentolie zakte van $90 à $95 naar $83 à $84 per vat. [04:04]
Wat nu?
Gebruik je een getroffen Coldcard: begin vandaag met de migratie en volg de stappen zorgvuldig. Twijfel je ergens over? Kom naar onze community via Bitcoinalpha.nl/discord – we staan klaar om te helpen. Stay safe.