Waarom kostte een Coldcard firmwarefout 594 bitcoin?

Marktcontext per 08.45 CEST. Bitcoin noteert 64.313,30 dollar, 0,69 procent boven de 24-uurs low en 1,62 procent onder de 24-uurs high van 65.369,80 dollar. Het 24-uurs volume stijgt 12,3 procent naar 1.486,43 BTC. Van de gestolen 594 bitcoin staat 562 BTC nog altijd in een onbewogen adres. Bron, Kraken.

Bron: CoinCodex

Coldcard firmwarefout maakte bitcoin seeds voorspelbaar

Coldcard is een wallet/" data-term-title="Hardware Wallet" role="button" tabindex="0">hardware wallet. Een fysiek apparaat om Bitcoin zelf te bewaren, zonder tussenpartij. Vanaf firmware 4.0.1 uit maart 2021 ging het mis, want het apparaat sloeg zijn eigen willekeurgenerator soms gewoon over. Het viel terug op het serienummer. En op de klok van de chip. Beide zijn geen geheim. Vier jaar lang bleef dat onopgemerkt. Een seed die daaruit ontstond, was dus te raden. Aanvallers troffen zo’n 500 wallets met elk tussen 0,15 en 0,26 bitcoin, vaak jaren onaangeroerd en nooit eerder verplaatst. Alleen de Mk4, Q en Mk5 draaien veilig. Binnen 25 minuten verdween alles naar nieuwe adressen. 562 bitcoin ging naar een adres. Dat adres bewoog sindsdien niet meer. Opvallend stil, gezien het bedrag.

Coinkite bevestigde het lek rond 02.56 uur UTC. Nog diezelfde nacht. Het bedrijf noemt de analyse voorlopig. Onderzoekers van The Block vonden nog eens 695 transacties, samen goed voor 488,1 bitcoin, mogelijk door dezelfde kwetsbaarheid. Bevestigd is dat niet. Wizardsardine-topman Kevin Loaec wijst op een zwakke random-number generator in de firmware als oorzaak van de hele leegroof. Rob Hamilton van AnchorWatch zag het gebeuren binnen een venster van drie blocks, een teken van automatisering. Geen toeval dus. De bitcoinkoers reageerde nauwelijks. De markt negeert deze diefstal grotendeels, zolang het geld niet naar een exchange stroomt. Dat volume staat los van de bitcoin ETF instroom van deze maand, die op het laagste tempo ooit ligt. Het handelsvolume steeg wel 12,3 procent. Eerder voorzichtig positioneren dan paniek.

Wat dit betekent voor de Nederlandse belegger

MiCA regelt aanbieders van cryptodiensten. Niet de fabrikanten van hardware wallets. Een Coldcard valt dus buiten het toezicht van de AFM. Geen vergunning, geen toezicht. Wie zijn bitcoin zelf bewaart, staat er bij een fout als deze alleen voor. Bij een MiCA-vergunde aanbieder als Bitvavo gelden bewaarplichten en scheiding van klantvermogen. Zelfbewaring betekent zelf verantwoordelijkheid. Geen vangnet van een toezichthouder. Stel dat een Nederlandse belegger 1.000 euro aan bitcoin bewaarde op een kwetsbare Mk3, zonder enige aanvullende beveiliging. De seed was op het apparaat zelf gegenereerd. Zonder extra wachtwoordzin. Dat hele bedrag was dan potentieel binnen enkele minuten weg. Met een sterke, willekeurige BIP-39-wachtwoordzin op de seed was dat risico juist klein. Dit is illustratief, geen advies.

Coinkite belooft onderzoek, aanvallers blijven stil

Coinkite raadt iedereen met een Mk3 op firmware 4.0.1 tot en met 5.0.3 aan een nieuwe seed te maken. Doe dat het liefst op een ander, niet-getroffen apparaat en controleer daarna zowel de backup als het nieuwe ontvangadres zorgvuldig. Een sterke, willekeurige BIP-39-wachtwoordzin beperkt het risico voor bestaande gebruikers aanzienlijk, meldt Coinkite zelf in de eigen waarschuwing. Het bedrijf werkt aan een formeel technisch rapport, nog zonder vaste datum. Blijft de extra 488,1 bitcoin van The Block eraan hangen? Nog altijd onduidelijk. Houd het stille adres met 562 bitcoin in de gaten. Zodra dat geld daadwerkelijk naar een grote exchange beweegt, ontstaat daar pas de echte verkoopdruk op de bitcoinkoers. Bewaak ook de steun, het prijsniveau waaronder verkopers de overhand nemen, bij 63.871,80 dollar, de 24-uurs bodem van vandaag.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.