Kan de nieuwe Coldcard firmware oude seeds nog redden?

Marktcontext per 16.30 CET. Bitcoin noteert 77.041,60 dollar, 3,1 procent onder de 24-uurs high van 79.511,10 dollar. Dat is 7,9 procent boven de 24-uurs low van 71.366,20 dollar. Het volume daalt 18,7 procent. Marktkapitalisatie, 1,55 biljoen dollar. Bron, Kraken en CoinGecko.

Bron: CoinCodex

Wat maakte de Coldcard firmware update nodig

Coinkite bracht op 20 augustus firmware 5.6.1 en 1.5.1Q uit voor de Coldcard hardware wallet. Dat meldde CoinDesk vanmiddag. De generator voor willekeurige getallen faalde. Van 2021 tot juli 2026. Aanvallers buitten het lek uit. Ze haalden 1.816 BTC weg, op het moment van de diefstal 114 tot 116 miljoen dollar waard.

De Coldcard firmware update dicht het lek voor Mk4, Mk5 en Q, maar lost oude seeds niet automatisch op. Verplaats het tegoed eerst naar een nieuwe plek. Genereer daarvoor een nieuwe seed met fysieke willekeur, zoals dobbelstenen, als je toestel in die periode viel.

Coinkite noemt het een seedfout. Een seed, de geheime herstelcode van een wallet, hoort onvoorspelbaar te zijn. Dat was bij sommige Coldcards niet zo, op elk moment en bij elk toestel.

Aanvallers konden de code reconstrueren. Ze haalden zo 1.816 BTC weg uit getroffen wallets. Dat bevestigt CryptoBriefing. Fors, voor een technische misser.

Firmware 5.6.1 en 1.5.1Q vervangen de oude Yasmarang-generator door een variant op basis van SHA-256. Transactie-herverificatie kwam er ook bij. Ook USB-datalekken zijn verholpen. Onveilige handtekeningmodi zijn nu geblokkeerd. Dat meldt Coinkite in een eigen aankondiging.

Wij rekenden het door. Bij de huidige koers van 77.041,60 dollar is die 1.816 BTC nu 139,9 miljoen dollar waard. Toen was dat 115 miljoen dollar. Dus het echte verhaal is duidelijk. De bitcoinrally liet de buit van de daders in enkele weken met bijna 25 miljoen dollar groeien, puur op papier.

Wat dit betekent voor de Nederlandse belegger

De AFM waarschuwt al langer voor de risico’s van zelfbewaring, het zelf beheren van crypto zonder tussenkomst van een exchange. Precies die groep raakt dit nu. Onder MiCA moeten Europese aanbieders zoals Bitvavo klanten daar expliciet op wijzen, voordat geld naar een externe wallet gaat.

Wie tussen 2021 en juli 2026 munten van Bitvavo naar een Coldcard haalde, loopt mogelijk gevaar. Reken even mee. Stel je zette gisteren 1.000 euro om in bitcoin en zette dat op zo’n toestel. Door de koersrally van de voorbije 24 uur staat dat bedrag nu, illustratief en geen advies, op ongeveer 1.080 euro. Dat bedrag blijft kwetsbaar. Check dus de firmwareversie en de aanmaakdatum van je seed, ook bij een klein bedrag.

Waarom een update alleen niet genoeg is

Een update alleen maakt oude seeds niet veilig. Dat is het kernpunt. Coinkite schreef eerder al over een verwant probleem bij de oudere Mk2 en Mk3, met een eigen advies uit juli. Dat trof seeds vanaf firmware 4.0.1. Coinkite bracht die versie uit in maart 2021.

Firmware 4.2.0 loste dat toen op, op 30 juli, maar ook toen gold dat een update geen bestaande seed repareert. Coinkite paste dat advies sindsdien twee keer aan. Dat gebeurde op 1 en op 14 augustus. Het bedrijf raadt een zorgvuldige migratie in zeven stappen aan, van firmwarecheck tot testtransactie, en waarschuwt voor overhaaste stappen.

Coinkite vat het zelf goed samen. “Rushing a wallet migration can create a more immediate risk than the issue you are trying to address.” Neem dus de tijd. Wacht niet te lang. Houd de firmwarepagina van Coinkite de komende dagen in de gaten voor een vergelijkbare update bij 5.6.1 en 1.5.1Q.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.