Coldcard-lek treft 4.585 wallets: bijna 89 miljoen dollar aan Bitcoin gestolen

De diefstal via zwakke Coldcard-sleutels is geen eenmalige tik meer, maar een aanhoudende jacht. Galaxy Research signaleerde afgelopen weekend een derde golf aan zogeheten sweeps, waarbij aanvallers portemonnees leeghalen die met kwetsbare Coldcard-firmware zijn aangemaakt. De teller staat inmiddels op 1.367 bitcoin, bijna 89 miljoen dollar, verspreid over 4.585 adressen. Waar de eerste aanval zich richtte op grote saldi, mikt de nieuwste golf juist op kleinere buit van een paar duizend dollar per slachtoffer.

Het probleem zit niet in phishing, malware of een gestolen apparaat, maar in de manier waarop sommige Coldcard-toestellen hun seed genereerden. Een hardware wallet zoals de Coldcard, gemaakt door het Canadese Coinkite, hoort de willekeur voor die seed uit een fysieke chip te halen. Door een fout die met firmware 4.0.0 in maart 2021 werd geintroduceerd, greep het toestel terug op een voorspelbare software-generator. Kort gezegd: de sleutels die eigenlijk onmogelijk te raden zouden moeten zijn, werden een oplosbare puzzel.

Waarom oude wallets nu pas geraakt worden

Voor beginners is dit de kern. Je seed, de rij van 12 of 24 woorden waarmee je bitcoin herstelt, is alleen veilig als hij echt willekeurig is getrokken uit een gigantische verzameling mogelijkheden. Bij de getroffen toestellen was die verzameling zo klein geworden dat iemand met de juiste kennis en genoeg rekenkracht de sleutels offline kan reconstrueren, zonder het apparaat ooit aan te raken. Volgens de analyse van Block, het bedrijf van Jack Dorsey, kan een aanvaller die het serienummer en de tijdstatus van een toestel voldoende inperkt de mogelijke uitkomsten narekenen en vergelijken met adressen op de blockchain.

Dat verklaart waarom vooral langetermijnhouders de klos zijn. Veel geplunderde adressen lagen jarenlang stil. Het updaten van je firmware lost een oude, zwak gegenereerde seed niet met terugwerkende kracht op; de sleutel is dan al zwak. Coinkite waarschuwt houders die een seed maakten op een Mk3 met versie 4.0.1 of later, en stelt dat de nieuwere modellen er anders voor staan: “Mk4, Q and Mk5 are not affected based on our early analysis.” Wie destijds eigen dobbelstenen of een extra BIP39-passphrase gebruikte, loopt volgens Coinkite fors minder risico.

De golven op een rij

De aanpak van de aanvaller verandert zichtbaar per golf, en dat maakt het opsporen lastiger. De eerste golf haalde in 41 minuten bijna een volledige bitcoin per adres binnen. De derde golf pakt kleinere bedragen, stopt de buit in complexere output-types die multisignature of timelocks kunnen dragen, en stuurt elk slachtoffer naar een eigen bestemming in plaats van naar een handvol verzameladressen. Daardoor is de geldstroom veel moeilijker in kaart te brengen.

Galaxy Research denkt dat elke golf het werk is van een enkele operator, maar durft niet te zeggen of dezelfde partij achter alle drie zit. De blockchain laat namelijk niet zien of losse sweeps gecoordineerd zijn. Het kan dus dezelfde aanvaller zijn die zich na openbaarmaking hergroepeert, of een tweede die onafhankelijk dezelfde kwetsbare sleutelruimte afgraast. Dat de gemiddelde buit daalt, wijst erop dat het lucratieve deel van die ruimte inmiddels grotendeels is afgeroomd.

De les die de sector eruit trekt

Het incident raakt een gevoelige snaar, want hardware wallets worden juist verkocht op de belofte van geisoleerde sleutelgeneratie. Binance-oprichter Changpeng Zhao, bekend als CZ, greep het moment aan om houders op te roepen hun geld over meerdere wallets te spreiden. Hij vatte het nuchter samen: “Even hardware wallets can have bugs. Even old wallets (with long history) can have bugs.” Wie een Coldcard Mk3 gebruikte in het risicovenster doet er verstandig aan te controleren hoe de seed destijds is aangemaakt en, bij twijfel, de bitcoin te verplaatsen naar een vers gegenereerde wallet.