Coldcard hack: ernstig seedprobleem en wat de crypto-bezitters nu moeten weten
Hardwarewalletfabrikant Coinkite waarschuwt voor een ernstige fout in verschillende Coldcard-modellen. Door onvoldoende willekeur bij het aanmaken van nieuwe walletseeds kunnen sommige privésleutels mogelijk worden achterhaald. Wie een getroffen seed gebruikt, doet er verstandig aan de officiële instructies zorgvuldig te volgen.
Welke Coldcards zijn getroffen?
De grootste kwetsbaarheid zit bij seeds die sinds maart 2021 zijn aangemaakt met een Coldcard Mk3 op firmwareversie 4.0.1 of nieuwer. Ook seeds die vóór de nieuwste beveiligingsupdate zijn gegenereerd op een Mk4, Mk5 of Q kunnen getroffen zijn. Deze modellen zouden ongeveer 72 bits aan willekeur hebben gebruikt, terwijl minimaal 128 bits werd verwacht.
Coinkite heeft inmiddels herstelde firmware uitgebracht. Voor de Mk4 en Mk5 is versie 5.6.0 of hoger nodig. Gebruikers van de Coldcard Q moeten upgraden naar versie 1.5.0Q of hoger. Een firmware-update repareert echter geen seed die eerder met onvoldoende willekeur is aangemaakt, benadrukt Coinkite in zijn officiële waarschuwing.
Mogelijke diefstal wordt nog onderzocht
Rond de bekendmaking werd ongeveer 594 BTC uit honderden wallets verplaatst. De transacties vonden binnen korte tijd plaats en de buit kwam grotendeels samen op één adres. Er wordt onderzocht of deze walletdrain rechtstreeks door de Coldcard-fout is veroorzaakt.
Die koppeling is nog niet definitief bevestigd. Coinkite spreekt zelf van een lopend onderzoek en belooft later een volledige technische analyse te publiceren. Het is daarom belangrijk om de gemelde schade niet als definitief bewezen gevolg van de kwetsbaarheid te presenteren.
Wat kunnen gebruikers doen?
Coinkite adviseert getroffen gebruikers om hun Bitcoin rustig naar een nieuwe wallet met een volledig nieuwe seed te verplaatsen. Installeer eerst de herstelde firmware op een ondersteund apparaat, maak daarna een nieuwe seed aan en controleer het ontvangstadres op het scherm van de hardwarewallet.
Verstuur eerst een klein testbedrag. Verplaats de rest pas wanneer je zeker weet dat de nieuwe wallet correct werkt. Bewaar de oude back-up totdat de volledige migratie is afgerond.
Wie bij het aanmaken van de seed minimaal vijftig eerlijke en geheime dobbelsteenworpen toevoegde, loopt volgens Coinkite waarschijnlijk geen risico door deze specifieke fout. Ook een sterke, unieke BIP-39-passphrase vormt een extra beveiligingslaag, maar Coinkite adviseert ook deze gebruikers uiteindelijk te migreren.
De belangrijkste boodschap is duidelijk: handel wel, maar raak niet in paniek. Juist bij het verplaatsen van Bitcoin kunnen haast en kleine fouten grote gevolgen hebben.
