Coldcard stopt leveringen en vernietigt voorraad na bitcoinhack van $86 miljoen

CoinKite, het Canadese bedrijf achter de Coldcard hardware-portemonnee, heeft alle leveringen stilgelegd en zijn resterende voorraad vernietigd. Aanleiding is een reeks gecoördineerde aanvallen waarbij circa 1.367 bitcoin — ter waarde van ongeveer $86,6 miljoen tegen de huidige koers — werd ontvreemd uit portemonnees met gecompromitteerde firmware.

Vier aanvalsgolven

De diefstal voltrok zich in meerdere rondes. Alex Thorn, hoofd onderzoek bij Galaxy Research, waarschuwde afgelopen zondag dat er een vierde gecoördineerde aanvalsgolf gaande was. Daarbij werd 388,93 BTC — ongeveer $24,5 miljoen — weggesluisd uit 462 adressen via 218 transacties. Thorn riep getroffen gebruikers op om hun tegoeden onmiddellijk te verplaatsen. Hij adviseerde hen eigen transacties in te dienen met hogere kosten, zodat die eerder worden verwerkt dan de openstaande opnames van de aanvaller in de Bitcoin-geheugenpool.

Een door de gemeenschap gebouwd dashboard dat de aanval bijhoudt, registreerde een cumulatief totaal van 1.367,59 BTC die was weggehaald uit aan Coldcard gekoppelde adressen, gemeten begin 3 augustus.

Productie stilgelegd, bestaande apparaten vernietigd

Coldcard bevestigde de kwetsbaarheid op 2 augustus publiekelijk. Het bedrijf zei de leveringen te hebben stopgezet zodra het probleem werd ontdekt, en alle apparaten met de getroffen firmware die nog in eigen beheer waren te hebben vernietigd. Voor al geleverde bestellingen nam CoinKite rechtstreeks contact op met klanten via e-mail, met een advies en instructies voor het overzetten van tegoeden naar een veilig adres.

"Op dit moment richten we ons volledig op het helpen van getroffen gebruikers bij een veilige migratie," aldus het bedrijf.

CoinKite heeft niet bekendgemaakt welke aansprakelijkheidsbescherming of compensatiemaatregelen het eventueel wil bieden aan gebruikers die verlies hebben geleden.

Het dilemma van zelfbeheer

Het incident leidde tot een scherpe reactie van Changpeng Zhao, medeoprichter van Binance. Hij wees op een structurele beperking van hardware-portemonnees die volledig offline werken: een firmware-update kan portemonnees die al in gebruik zijn niet alsnog beveiligen. Omdat de apparaten offline functioneren, hebben ontwikkelaars geen directe manier om updates of waarschuwingen naar gebruikers te sturen. De verantwoordelijkheid om actie te ondernemen ligt volledig bij de portemonneehouder zelf.

"Ik geloof in zelfbeheer, maar het legt de verantwoordelijkheid bij jou," zei Zhao.

Hardware-portemonnees zijn fysieke apparaten die de privésleutels van cryptovaluta offline opslaan. Dit ontwerp is bedoeld om tegoeden te beschermen tegen schadelijke software en aanvallen op afstand. Het Coldcard-incident is een van de grootste inbreuken op hardware-portemonnees die ooit zijn geregistreerd. Ter vergelijking: Ledger — een van de bekendste namen in de sector — werd in 2023 getroffen door een aanval op de toeleveringsketen, waarbij circa $484.000 aan tegoeden werd gestolen. Dat is een fractie van de huidige verliezen.

Wat nog onduidelijk is

De precieze aard van de firmware-kwetsbaarheid is niet openbaar gemaakt. Ook is het onduidelijk hoeveel gebruikers een getroffen apparaat hebben ontvangen vóór de leveringen werden stopgezet, wat bepalend is voor het totale aantal mensen dat nog risico loopt. Of bitcoin die bij eerdere aanvalsgolven is weggesluisd inmiddels is teruggevonden of op de blockchain is getraceerd, is in de beschikbare berichtgeving niet bevestigd.