Hackers stelen $130 miljoen uit Coldcard-portefeuilles via zaadfout

Hackers hebben meer dan $130 miljoen aan Bitcoin gestolen door misbruik te maken van een kwetsbaarheid in de Coldcard-hardwareportefeuille, volgens blockchain-beveiligingsbedrijven.

Per 4 augustus 2026 vielen ten minste twaalf aanvallers in meerdere groepen Coldcard-gebruikers aan, aldus Galaxy Research. Tom Robinson van het crypto-monitoringbedrijf Elliptic bevestigde de schatting.

De diefstal maakt deel uit van een golf: TRM Labs meldde meer dan 200 hacks van cryptocurrency-bedrijven in 2026, met verliezen van meer dan $950 miljoen.

Coldcard is ontworpen als een offline 'koude' portefeuille die zaadzinnen — wachtwoorden voor cryptocurrency — losgekoppeld van het internet bewaart, in tegenstelling tot 'hete' portefeuilles op beurzen zoals Binance of Coinbase.

Beveiligingsonderzoekers van Block ontdekten dat een bug in de software van de portefeuille de generatie van die zaadzinnen voorspelbaar maakte. Hackers forceerden vervolgens op grote schaal de sleutels van slachtoffers, zonder ooit fysieke toegang tot de apparaten te nodig te hebben.

Jonathan Goodman, die zegt $1,6 miljoen te hebben verloren, schreef op X dat hij zijn zaadzin in meerdere kluizen en bankkluizen bewaarde en het apparaat nooit online had blootgesteld. Hij wees naar een kwetsbare regel code uit 2021.

In een advies van 30 juli 2026, bijgewerkt op 1 augustus, drong Coinkite er bij gebruikers op aan om na het updaten van hun apparaten een nieuwe zaadzin te genereren. Het bedrijf reageerde niet onmiddellijk op een verzoek om commentaar.