Waarom raadt CZ bitcoin zelfbewaring in meerdere wallets aan?

Marktcontext per 20.30 uur CET. Bitcoin noteert 62.334,60 dollar. Dat is 1,26 procent onder de 24-uurs high van 63.128,40 dollar, amper 0,22 procent boven de low van 62.200,50 dollar. Het 24-uurs handelsvolume daalt naar 14,47 miljard dollar, ruim 50 procent lager dan een dag eerder. Ook het rustige weekend speelt mee. Het gestolen bedrag van 70,2 miljoen dollar is goed voor 0,49 procent van dat volume. Bron, Kraken en CoinGecko.

Bron: CoinCodex

Galaxy Research verdubbelt de schade van de Coldcard-hack

Coinkite maakt de Coldcard. Het is een bekende hardware wallet. Vertrouwen is groot. De aanval trof honderden wallets vroeg op donderdag 30 juli, tussen 01.10 en 01.51 uur UTC. Coinkite bevestigde vrijdag een eerste sweep van 594,48 bitcoin, destijds 38,3 miljoen dollar waard, verspreid over honderden wallets.

Galaxy Research trok die schatting vrijdagavond fors naar boven bij, na eigen onderzoek op de blockchain. Dat ging razendsnel. Het definitieve cijfer staat nu op 1.082,65 bitcoin uit 1.196 wallets, samen goed voor 70,2 miljoen dollar. De aanvallers hadden geen fysieke toegang tot de apparaten nodig, ze werkten volledig op afstand via blockchain-analyse.

Een fout bij het genereren van seed phrases op oudere firmware veroorzaakte uiteindelijk het hele probleem. Firmware vanaf versie 4.0.1 uit maart 2021 tot en met 5.0.3 gebruikte te voorspelbare willekeur. Dat trof vooral de Mk3. Deels trof het ook Mk4, Mk5 en Q. Bezitters van Ledger of Trezor vroegen zich intussen af of zij ook risico liepen.

Galaxy Research waarschuwt dat toekomstige aanvallen mogelijk blijven op elk adres dat Coldcard ooit genereerde, ook op nieuwe adressen. Coinkite bracht noodpatches uit. Het bedrijf adviseert een compleet nieuwe seed, gegenereerd op een apparaat dat al is gepatcht. Wie alleen de firmware updatet zonder een nieuwe seed te maken, loopt nog altijd risico.

Wat dit betekent voor de Nederlandse belegger

MiCA reguleert cryptobeurzen zoals Bitvavo. Zelfbewaring valt daar niet onder. De AFM erkent zelf dat handelen in crypto grotendeels buiten haar toezicht valt, ook na de introductie van MiCA. Zelfbewaring valt buiten het vangnet dat de MiCA-vergunning van Bitvavo biedt aan klanten, ook al gaat het om hetzelfde bedrag. Dat verschil telt. Eerdere signalen over de AFM en de MiCA-meetlat voor cryptoreclame wijzen in dezelfde richting.

Dat verandert niets aan de fiscale plicht. Zelfbewaarde bitcoin telt gewoon mee in Box 3, net als bitcoin op een beurs, ongeacht waar de coins staan opgeslagen. Wie 1.000 euro aan bitcoin zelf bewaart, geeft dat bedrag op 1 januari op bij de Belastingdienst, illustratief, geen advies. Een Coldcard-eigenaar met oude firmware liep dat risico al jarenlang, zonder het zelf ooit te weten.

Bitcoin zelfbewaring blijft de zwakke schakel

Het gestolen bedrag van 70,2 miljoen dollar klinkt groot, toch is het maar 0,49 procent van het 24-uurs handelsvolume. Dat is 14,47 miljard dollar. De bitcoinkoers bewoog amper. Hij bleef vlak liggen. Paniek bleef uit. Data bevestigen dat. Sommige beleggers kiezen na dit soort incidenten voor de instroom in bitcoin-ETF’s, waar een derde partij de bewaring regelt. De schade blijft dus beperkt tot getroffen gebruikers, niet tot de bredere markt, ondanks alle ophef op sociale media.

CZ zei het zelf zaterdagmiddag op X. “Ook hardware wallets kunnen bugs hebben. Splits je geld misschien over een paar wallets. Niets is 100 procent veilig,” schreef hij. Dat is duidelijke taal van een grote naam.

Dat advies botst met het gemak van een wallet voor alles, vooral bij wie nooit naar seeds omkijkt. Toch klopt het advies. Spreiding beperkt schade bij een fout. Maar het voegt ook beheerwerk toe. Wie meerdere seeds bewaart, moet ze ook stuk voor stuk op een veilige, aparte plek opslaan. Let de komende dagen op de patch-adoptie onder Coldcard-gebruikers wereldwijd, vooral bij eigenaren van een oudere Mk3. Voor de bitcoinkoers blijven 62.200 dollar als steun en 63.128 dollar als weerstand de niveaus om te volgen.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.