De schade van het lek in Coldcard-bitcoinwallets is verder opgelopen. Volgens onderzoekers van Galaxy Research is inmiddels een derde aanvalsgolf gaande, waardoor de waargenomen verliezen zijn gestegen tot ongeveer 1.367 bitcoin, verspreid over 4.585 adressen. Bij de huidige koers gaat het om zo’n 88 miljoen dollar. De aanvallers blijven wallets leegtrekken.
Van eerste incident naar aanhoudende diefstal
Het probleem begon eerder deze week met een reeks snelle diefstallen, waarbij binnen enkele minuten honderden bitcoins uit getroffen portefeuilles verdwenen. Dat het lek zich nu uitstrekt over duizenden adressen en meerdere golven, laat zien dat het niet om een eenmalig incident gaat. De aanvallers hebben blijkbaar toegang gevonden tot een methode die telkens opnieuw werkt.
Coldcard is een zogeheten hardware wallet: een fysiek apparaat dat de private sleutels van een gebruiker offline bewaart. Juist die scheiding van het internet moet bescherming bieden tegen hackers. Dat een dergelijk apparaat toch massaal wordt geplunderd, raakt aan het vertrouwen dat bitcoiners in cold storage stellen.
De vermoedelijke oorzaak
Onderzoekers wijzen niet naar een fout in de hardware zelf, maar naar de manier waarop gebruikers hun wallet hebben opgezet. Het beeld dat oprijst, is dat gecompromitteerde of nagemaakte software rond het apparaat de herstelzin van slachtoffers heeft buitgemaakt. Wie die twaalf of vierentwintig woorden in handen krijgt, kan een wallet volledig overnemen, ongeacht hoe veilig het fysieke apparaat verder is.
Details over de precieze aanvalsroute worden onder meer via analisten op X gedeeld, waaronder een uitgebreide draad over het lek. De strekking is telkens dezelfde: de zwakke schakel zit in het proces rond de wallet, niet zozeer in de chip in het apparaat.
Wat het betekent voor zelfbewaring
Zelfbewaring, in het jargon self-custody, geldt binnen de bitcoingemeenschap als het hoogste goed. Wie zijn eigen sleutels beheert, is niet afhankelijk van een beurs of bewaarder die kan omvallen of bevriezen. Het faillissement van cryptoplatforms en de verliezen bij gehackte beurzen hebben dat argument alleen maar versterkt.
Tegelijk toont dit lek de keerzijde. Bij zelfbewaring ligt alle verantwoordelijkheid, en dus alle risico, bij de gebruiker zelf. Er is geen helpdesk die een transactie terugdraait en geen verzekeraar die het verlies vergoedt. Een fout in de installatie of een besmette download kan volstaan om alles kwijt te raken. Opvallend genoeg reageerden sommige bitcoiners uit voorzorg door hun bezit juist terug naar een beurs te sturen, precies de tegenovergestelde beweging van wat de gemeenschap normaal predikt.
Bredere gevolgen voor de markt
Voor de bredere bitcoinmarkt is de directe koersimpact beperkt. Een bedrag van 88 miljoen dollar valt in het niet bij het dagelijkse handelsvolume. De echte schade zit in het vertrouwen. Naarmate meer particulieren en instellingen crypto in eigen beheer nemen, groeit ook het belang van betrouwbare bewaaroplossingen. Elk incident van deze omvang voedt de discussie of self-custody wel geschikt is voor het grote publiek.
Ook voor Nederlandse en Europese houders is de les concreet. Wallet-software uitsluitend via officiele kanalen installeren, de herstelzin nooit digitaal opslaan en firmware kritisch controleren zijn geen overbodige voorzorgen. Zolang de aanvallers doorgaan, is nog niet duidelijk waar de teller uiteindelijk stopt.
