Hoe vond het Bitcoin Red Team bijna 5.000 fouten in 27,5 uur?

Marktcontext per 07.51 CET. Bitcoin noteert 64.821 dollar, 0,21 procent onder de 24-uurs high van 64.955 dollar en 1,56 procent boven de 24-uurs low van 63.823 dollar. Het 24-uurs volume stijgt 2,62 procent naar 1.283 BTC. De Fear and Greed Index staat op 25, extreme angst. Bron, Kraken en Alternative.me.

Wat het Bitcoin Red Team in 27,5 uur vond

Calle en Rob Hamilton bouwden het Bitcoin Red Team op na de eerste signalen van de Coldcard-hack. De teller loopt nog. De audit raakt de bredere bitcoin-toolketen, niet het kernprotocol zelf.

Calle bevestigde de cijfers zelf op X, wat de claim tot een directe bron maakt naast de persberichten. Het team groeide naar zestien mensen, verspreid over de wereld en actief dag en nacht. Ze dienden 4.962 meldingen in, over 390 projecten, in 27,5 uur sinds de start van de operatie deze week. Ruim 21 procent bleek reproduceerbaar. Dat is geen ruis. Het gaat om echte fouten in code voor bitcoin-wallets en infrastructuur, bevestigt onderzoek van CryptoBriefing. De non-profitstichting OpenSats betaalde zowat 40.000 dollar aan deze ene, snelle beveiligingsoperatie van het team. Dat is nog geen 0,04 procent van de 116 miljoen dollar die verdween bij de Coldcard-hack. Voor een fractie van die schade vond een klein team bijna 5.000 mogelijke gaten in de bredere keten.

De zwakke schakel achter de Coldcard hack

De aanleiding ligt bij een fout in Coldcard-firmware 4.0.1 uit maart 2021, aldus onderzoek van TRM Labs. Een verkeerde build-configuratie liet apparaten terugvallen op een zwakke generator voor toevalsgetallen, zonder dat fysieke toegang nodig was. De sleutelsterkte zakte van 128 bits naar soms 40 bits. Dat is kraakbaar met gewone rekenkracht. Een update hielp niet. Wie een seed genereerde tussen maart 2021 en het patchmoment, draagt nog steeds risico, want die seed is gecompromitteerd. Vervang hem op bijgewerkte hardware. Boltz staakte de eigen swaps voor onbepaalde tijd. Boltz bewaart zelf geen tegoeden. AI-gestuurde aanvallen gingen sneller dan het eigen team kon bijhouden, meldde het protocol woensdag over de eigen situatie. Ook analisten van Cantor en FRNT wijzen, in gesprek met CoinDesk, op meer vraag naar gereguleerde bewaring na het incident.

Wat dit betekent voor de Nederlandse belegger

Wie de eigen seed beheert, draagt ook de volledige verantwoordelijkheid voor de software en hardware erachter. Een AFM-geregistreerde partij als Bitvavo werkt onder de MiCA-vergunning en regelt bewaring namens de klant, wat het risico verschuift. Het heft het niet op. Stel bijvoorbeeld een positie van 1.000 euro in bitcoin, illustratief bedoeld en zonder enig advies. Op eigen hardware kan een zwakke sleutel bij verkeerd gebruik het volledige bedrag kosten, zonder enig vangnet. Bij een gereguleerde partij ligt de aansprakelijkheid anders, al blijft eigen onderzoek nodig naar de voorwaarden en de eigen risicobereidheid. Box 3 verandert niet mee. De fiscale behandeling van bitcoin voor de Belastingdienst blijft gelijk, zelfbewaring of bewaring bij een exchange. Wat wel verandert, is de kans dat een technische fout bij de aanbieder ligt in plaats van bij jezelf.

Boltz noemt geen datum voor herstel. Hou de steun bij 63.823 dollar in de gaten. Dat is de 24-uurs bodem van bitcoin bij het schrijven van dit artikel. Een nieuwe golf aan kritieke meldingen van het Bitcoin Red Team kan dat sentiment de komende dagen verder testen.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.