Een hardware wallet die je nooit met internet verbindt, geldt als de veiligste manier om bitcoin te bewaren. Niemand kan hem hacken als hij niet online komt, zo luidt de belofte. Op 30 juli 2026 bleek die belofte voor duizenden eigenaren van een Coldcard-wallet weinig waard. Binnen 41 minuten verdween er voor zo'n 70 miljoen dollar aan bitcoin van hun apparaten, zonder dat iemand de fysieke wallet ooit had aangeraakt.
Tegen de tijd dat onderzoekers van blockchain-analysebureau TRM Labs de schade volledig in kaart brachten, liep de teller op tot ruim 116 miljoen dollar, verspreid over meer dan vijfduizend adressen. Daarmee is dit de grootste diefstal via een hardware wallet ooit geregistreerd.
Wat er precies misging
De oorzaak ligt niet bij de gebruikers, maar bij Coinkite, de Canadese fabrikant van Coldcard. Een firmware-update uit 2021 bevatte een programmeerfout die de willekeurigheidsgenerator van de chip buitenspel zette. Normaal gebruikt een Coldcard de hardwarechip om echt willekeurige getallen te maken, de basis van je seed phrase. Door de fout viel het apparaat stilletjes terug op een software-generator die veel voorspelbaarder is.
Het resultaat: in plaats van de beloofde 128 bits aan entropie kwamen sommige wallets uit op slechts 40 bits. Dat verschil is enorm. Veertig bits is binnen bereik van iemand met genoeg rekenkracht, 128 bits niet. Wie tussen maart 2021 en de patch een nieuwe seed aanmaakte op een Coldcard, liep dus al die tijd onopgemerkt risico.
Hoe je wallet leeg kon raken zonder dat iemand hem aanraakte
Dit is het onderdeel dat de meeste mensen verrast. Een aanvaller hoeft je apparaat nooit te zien of te stelen. Als de seed phrase voorspelbaar genoeg is, kan iemand met genoeg rekenkracht hem offline reconstrueren en vervolgens gewoon kijken welke adressen op de blockchain saldo bevatten. Zodra er een match is, verplaatst de aanvaller het geld. Jij merkt er niets van totdat je je wallet opent en je saldo op nul staat.
Wie zijn bitcoin veilig wil bewaren, leest sowieso beter ons artikel over hoe wallets werken voordat hij een apparaat aanschaft. Niet elke wallet is hetzelfde gebouwd, en dit incident laat zien dat ook cold storage zijn eigen risico's kent.
Coinkite breidt de lijst met kwetsbare modellen steeds verder uit
Coinkite zei aanvankelijk dat alleen het oudere Mk3-model kwetsbaar was. Inmiddels heeft het bedrijf toegegeven dat ook de nieuwere Mk4, Mk5 en Q dezelfde fout bevatten, zij het met iets meer entropie, zo'n 72 bits in plaats van 40. Coinkite heeft de productie stilgelegd en de resterende voorraad met de besmette firmware vernietigd.
Een firmware-update alleen lost niets op voor bestaande wallets. De update voorkomt nieuwe zwakke seeds, maar een seed die je vóór de patch aanmaakte, blijft net zo voorspelbaar als daarvoor. Daarom adviseert TRM Labs iedereen die tussen maart 2021 en nu een Coldcard-seed aanmaakte, die seed als gecompromitteerd te beschouwen en het geld over te zetten naar een nieuwe seed op een ander apparaat.
Waarom dit verder gaat dan één fabrikant
Het makkelijke verhaal is dat Coinkite een fout maakte en de rest van de markt veilig is. Zo simpel ligt het niet. Onderzoekers wijzen erop dat een verkeerd geconfigureerde build-instelling, waarbij de code alleen controleerde of een optie bestond en niet of hij daadwerkelijk aanstond, bij elke fabrikant kan voorkomen. Ledger, Trezor, Bitkey, Jade en Tangem lieten weten dat hun eigen apparaten niet door deze specifieke bug zijn geraakt, maar Trezor waarschuwt wel voor een addertje onder het gras: wie een zwakke Coldcard-seed importeert in een Trezor-wallet, neemt dezelfde zwakte gewoon mee. Het apparaat verandert, de onveilige seed niet.
Daarin zit meteen het verschil met een bankrekening. Raakt je spaargeld bij een Nederlandse bank betrokken bij fraude, dan valt het onder het depositogarantiestelsel tot 100.000 euro per klant. Bij zelfbeheer van crypto bestaat zoiets niet. Verlies je toegang tot je seed, of blijkt die seed zwak, dan vergoedt niemand het verlies. Je bent zelf de bank, met alle verantwoordelijkheid die daarbij hoort.
Wie net begint met zelf bitcoin bewaren in plaats van alles op een beurs te laten staan, zoals veel beleggers deden na de onzekerheid rond de MiCA-vergunning van Binance, doet er goed aan dit verhaal serieus te nemen. Zelfbeheer is niet automatisch veiliger als je niet weet waar je op moet letten.
Dit controleer je vandaag nog
Heb je zelf een Coldcard, of overweeg je om je spaargeld te investeren via crypto, check dan eerst drie dingen. Kijk op welke firmwareversie je apparaat draait en wanneer je je seed phrase aanmaakte. Was dat tussen maart 2021 en augustus 2026, ga er dan van uit dat je seed niet meer veilig is. Maak een compleet nieuwe seed aan op de nieuwste firmware, het liefst met een extra BIP-39-wachtwoordzin erbovenop, en verplaats je saldo pas nadat je zeker weet dat het nieuwe adres correct is.
Volgens de berichtgeving van VRT loopt het onderzoek naar de precieze omvang van de schade nog steeds. Wacht daar niet op. Een hardware wallet is geen garantie, het is een extra laag bescherming, en die laag is alleen zo sterk als de seed die eronder ligt.