Hoe groot is het bitcoin-risico na de Coldcard Mk3 waarschuwing?

Marktcontext per 07.50 CEST. Bitcoin noteert 64.293 dollar, 1,65 procent onder de 24-uurs high van 65.369,80 dollar en 0,66 procent boven de 24-uurs low van 63.871,80 dollar. Het 24-uurs volume van 1.487 BTC ligt 29,05 procent boven het volume van de volledige vorige handelsdag, 1.152,65 BTC. Het netwerk staat op blok 960.351, 160 blokken voorbij het omstreden cluster 960.188 tot 960.191. Bron, Kraken en blockchain.info.

Bron: CoinCodex

Wat toont de Coldcard Mk3 waarschuwing over de bitcoin-diefstal

Coinkite wijst naar de willekeurgenerator, het onderdeel dat een seed aanmaakt, de geheime reeks achter een wallet. Firmware 4.0.1 uit maart 2021 tot en met de laatste Mk3-versie 5.0.3 kan gebrekkige entropie hebben geproduceerd. Niemand weet het zeker. Wizardsardine-CEO Kevin Loaec oppert een oorzaak. Een generator met te weinig willekeur, verstopt in software, een secure element of een specifieke productiebatch uit die jaren. Coinkite onderzoekt het zelf nog. Een Redditgebruiker meldde dat zijn wallet leeg werd getrokken, aangemaakt op een Mk3 uit 2021 en hersteld naar een Mk4. Dat verband maakt de zaak gevoelig. Bitvavo-gebruikers lopen dit risico niet. Hun sleutels staan er nooit op.

Het echte verhaal zit in de blockchain. De omstreden overboekingen liepen via de blokken 960.188 tot 960.191, samen goed voor 594,48 BTC uit 500 losse adressen. Onderzoekers vonden nog een gelijksoortige beweging. 488,1 BTC eerder in de tijd, met dezelfde digitale vingerafdruk. Samen is dat 1.082,58 BTC. Tegen de huidige koers van 64.293 dollar staat bijna 69,6 miljoen dollar tegenover, een bedrag dat geen bron zo optelde. Bij het schrijven van dit artikel staat het netwerk al op blok 960.351, zo’n 160 blokken voorbij het verdachte cluster. De sweep gebeurde dus al een tijd voordat het nieuws vanochtend losbarstte, ruim voordat wie dan ook het opmerkte. Precies die vertraging maakt zelfbewaring risicovol.

Bitcoin-ontwikkelaar James O’Beirne trekt een harde lijn. Wie tussen 2021 en 2023 zonder dobbelsteen-import, wachtwoordzin of multisig een seed genereerde op een Mk3, moet nu handelen. Coinkite zelf raadt haast juist af. Een gehaaste stap is soms riskanter dan het probleem zelf, schrijft het bedrijf in zijn advisory. Wie een BIP-39-wachtwoordzin gebruikte, loopt volgens Coinkite een stuk minder risico. De Mk4, de Q en de Mk5 zijn niet geraakt, het apparaat zelf is dus niet het probleem. De oude firmware wel.

Wat dit betekent voor de Nederlandse belegger

Voor een Nederlandse hodler ligt het probleem niet bij de AFM of bij MiCA. Die Europese cryptoverordening laat zelfbewaring buiten beschouwing en reguleert cryptodienstverleners zoals Bitvavo, niet de hardware wallet op het nachtkastje. Wie zijn bitcoin bij Bitvavo laat staan, profiteert van de bewaarplicht en het vergunningsregime onder MiCA. Wie zelf beheert via een Coldcard, draagt het volledige technische risico alleen, een verschil dat zelden zo scherp zichtbaar wordt. Stel je had 1.000 euro in bitcoin bewaard op een Coldcard Mk3 zonder wachtwoordzin, aangemaakt ergens in 2022. Bij een aanval ben je dat bedrag kwijt. Een vangnet is er niet. Er bestaat geen AFM-loket voor zelfbewaring. Dit is illustratief, geen advies.

Verlies door diefstal verandert niets aan een lopende Box 3-aangifte over het bezit op de peildatum, hoe zuur dat voelt. De Belastingdienst kijkt naar wat je op 1 januari had, niet naar wat een hacker later meenam.

Welke stap zet je nu met je hardware wallet

Check eerst je firmwareversie. Staat er 4.0.1 tot 5.0.3 op je Mk3? Dan tel je mee. Heb je een BIP-39-wachtwoordzin ingesteld? Dan is het risico klein. Zo niet, kies dan voor een nieuwe, sterke wachtwoordzin als tussenstap, of gebruik de dobbelsteenmethode met minstens 99 onafhankelijke worpen. Zo maak je een nieuwe seed zonder de generator te vertrouwen. Test daarna met een kleine transactie voordat je de rest verplaatst. Overhaast handelen is precies wat Coinkite afraadt in zijn advisory.

Houd het support van 63.871,80 dollar in de gaten, het prijsniveau waar kopers doorgaans instappen, de 24-uurs bodem van bitcoin. Een doorbraak daaronder kan wijzen op bredere onrust na dit beveiligingsnieuws. Coinkite zet het onderzoek voort. De eerstvolgende update op de advisory-pagina is het volgende concrete moment om te checken.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.