Kan de Coldcard exploit ook Ledger- of Trezor-bezitters raken?

Marktcontext per 15.50 CET. Bitcoin noteert 62.997,70 dollar, 0,51 procent onder de 24-uurs high van 63.323,80 dollar. Het volume daalt 41,3 procent. Kraken toont 1.332,35 bitcoin. De buit, 1.082,65 bitcoin, blijft onaangeroerd. Bron, Kraken en Galaxy Research.

Bron: CoinCodex

De Coldcard exploit toont de grenzen van zelfbewaring

Block vond een firmwarefout in de Coldcard wallet die de willekeur bij het aanmaken van een seed ernstig verzwakte. Een seed is een herstelcode. De aanval duurde 41 minuten, tussen 01.10 en 01.51 uur UTC op 30 juli. De aanvaller gokte kandidaat-seeds razendsnel na, met data van een betaalde blockchain-dienst, en controleerde ze meteen op het netwerk. Het apparaat deed niet mee. CryptoFocus.nl meldde dit al vrijdag in het ochtendoverzicht. CZ postte kort op X. Ook wallets hebben bugs, zei hij. Splits je geld misschien. Niets is 100 procent veilig. Die woorden raken de kern van een oud debat over zelfbewaring versus een uitwisseling die voor je waakt.

Ledger, Trezor, Tangem, Jade en Bitkey meldden vrijdagavond dat hun toestellen dit specifieke lek missen. Ze wijzen op eigen willekeurgeneratoren. Toch steunen die geruststellingen vooral op oudere audits, want fris onafhankelijk onderzoek na deze aanval ontbreekt nog. Coinkite oprichter NVK gaat verder. AI-ondersteunde code-analyse vond de fout mogelijk sneller dan menselijke onderzoekers ooit hadden gekund, zegt hij zelf. Een nuchtere realiteit, noemt hij dat. De koers bewoog nauwelijks. Geen exchange of ETF meldde blootstelling. Het risico blijft dus volledig bij particuliere zelfbewaarders, ongeacht de omvang van hun bitcoinbezit op dat moment.

Wat dit betekent voor de Nederlandse belegger

MiCA regelt uitwisselingen en bewaarders die klantgeld beheren, niet een hardware wallet die je zelf koopt in een winkel. De AFM houdt toezicht op vergunninghouders zoals Bitvavo, net als bij de recente controles op cryptoreclame. Fabrikanten vallen daarbuiten. Daar sta je alleen voor. Bij een AFM en MiCA vergunde partij gelden strikte regels voor het scheiden van klantgeld, met bewaarplicht en controle. Eigen wallets zijn anders.

Illustratief, geen advies. Reken een voorbeeld door. Op een oude Coldcard Mk3 met 1.000 euro is het risico identiek aan dat van tien keer zoveel bitcoin. Qua aantal telden vooral kleine wallets. In dollarwaarde raakte de aanval vooral wallets tussen 1 en 50 bitcoin, blijkt uit het onderzoek. Kleine bezitters liepen meer risico.

Wat kun je vandaag doen

Check eerst je firmwareversie. Coinkite raadt Mk3-gebruikers met firmware 4.0.1 tot 4.1.9 aan direct te migreren naar veiligere versies, zonder uitzondering. Mk3 vraagt versie 4.2.0. Mk4 en Mk5 hebben versie 5.6.0 nodig, en de Coldcard Q heeft versie 1.5.0Q nodig voor volledige bescherming. Een update redt geen oude seed, waarschuwt Coinkite zelf in zijn officiële richtlijnen voor gedupeerde gebruikers. Genereer een nieuwe herstelcode. Verplaats daarna je bitcoin. Doe dit vandaag nog.

Coinkite belooft hulp bij aangiftes en verzekeringsclaims voor gedupeerden, terwijl de vier stille adressen in de gaten blijven. Zodra de dief 1.082,65 bitcoin naar een exchange stuurt, kunnen platformen en opsporingsdiensten voor het eerst echt ingrijpen. Tot die tijd blijft het geld, net als het vertrouwen in zelfbewaring, in de lucht hangen.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.