Een ernstig beveiligingslek bij het bedrijf Coinkite in Canada heeft geleid tot de diefstal van meer dan duizend bitcoins, met een marktwaarde van tientallen miljoenen euro's. Gebruikers van zogenoemde Coldcard-wallets zagen in de afgelopen dagen hun digitale spaargeld verdwijnen. De hack veroorzaakt heel wat ophef in de cryptowereld.
Ophef in cryptowereld: hackers treffen 'veiligste plek' om bitcoins te bewaren, voor tientallen miljoenen euro's gestolen
Joris Truyts
Gepubliceerd:
Vooral de manier waarop de hacking gebeurd is, doet bij kenners de wenkbrauwen fronsen. De getroffen toestellen behoren tot de categorie van hardwarewallets: gespecialiseerde apparaten die ontworpen zijn om je geheime digitale sleutels veilig offline te bewaren.
Volgens Thomas Spaas, advocaat gespecialiseerd in beleggingsfiscaliteit en cryptomunten, maakt dat de zaak extra pijnlijk. "Deze wallets werden gezien als de meest complexe en meest veilige in de cryptowereld", zegt hij.
De oorzaak van het probleem ligt bij de firmware van bepaalde Coldcard-toestellen. Bij het aanmaken van een nieuwe wallet (een digitale cryptoportefeuille) wordt een zogenoemde 'seed' aangemaakt: een willekeurige reeks woorden die dienstdoet als de ultieme sleutel tot de bitcoins.
Door een fout in de software was die willekeurigheid onvoldoende groot. Daardoor konden aanvallers met voldoende rekenkracht, en mogelijk met de hulp van artificiële intelligentie, de sleutels reconstrueren. Ze hoefden daarvoor geen toegang te krijgen tot de toestellen zelf.
Ook de timing van de aanval is opmerkelijk. De fout in de software zou al sinds 2021 aanwezig zijn geweest. Toch hebben de aanvallers pas nu op grote schaal toegeslagen.
Volgens Thomas Spaas wijst dat op een zorgvuldig voorbereide operatie. "Die bug bestond al langer, maar men heeft tot nu gewacht. We zitten midden in de vakantieperiode. Veel mensen zijn weg van huis en hebben niet onmiddellijk toegang tot hun hardwarewallet."
Daardoor konden gebruikers minder snel reageren en hun tegoeden verplaatsen. Op sociale media getuigen verschillende gebruikers dat ze op reis waren toen ze vernamen dat hun toestel mogelijk kwetsbaar was.
Spaas wijst erop dat de aanvallers niet willekeurig te werk zijn gegaan. Veel van de getroffen wallets waren al jarenlang onaangeroerd. "Het gaat vaak om 'bitcoiners' van het eerste uur", zegt hij. "Met wallets waarop soms meerdere bitcoins staan."
Dat grote hoeveelheden bitcoins in een korte tijdspanne uit honderden wallets werden weggehaald, doet volgens onderzoekers vermoeden dat de aanvallers eerst gedurende langere tijd kwetsbare adressen in kaart hebben gebracht voordat ze toesloegen.
"Het is goed georganiseerd aangepakt", zegt Spaas. "Men heeft gewacht tot het juiste moment."
Meer dan 75 miljoen euro
Onderzoekers schatten de buit inmiddels op meer dan 1.300 bitcoins, goed voor zo'n 75 miljoen euro. En mogelijk loopt dat bedrag nog op.
"Er zitten natuurlijk grote en kleine wallets tussen, maar de gemiddelde omvang van de roof is toch aanzienlijk", zegt Spaas. Hij heeft geen weet van Belgen die getroffen zijn.
De kwetsbaarheid lijkt vooral aanwezig in de oudere Coldcard MK3-wallets, al zouden ook sommige nieuwere modellen door dezelfde fout zijn getroffen tot recente software-updates werden uitgebracht. Coinkite heeft gebruikers intussen opgeroepen om de firmware te updaten.
Spaas benadrukt dat het probleem niet bij bitcoin zelf ligt. "Dat is een belangrijk punt. Andere hardwarefabrikanten hebben hier ook geen last van. Dit heeft echt met die specifieke wallet te maken."
Wie zijn de daders?
Volgens Spaas toont het incident aan dat ook beveiligingsproducten kwetsbaar blijven. "Je ziet dat je best niet op één fabrikant of op één systeem vertrouwt. Een goeie tip is om gebruik te maken van een 'multisig', met wallets van verschillende merken. Zodat als één merk aangetast is, de andere handtekening nog veilig blijft."
Wie achter de aanval zit, is voorlopig niet bekend. Er wordt gespeculeerd over professionele of staatsgesteunde hackersgroepen, denk aan Rusland of Noord-Korea, maar concrete bewijzen daarvoor zijn er voorlopig niet.
Wel merkt Spaas op dat de gestolen bitcoin moeilijk te verzilveren zal zijn via gereguleerde cryptobeurzen. "Dat is alsof je een grote partij goud steelt. Je kunt die niet zomaar verkopen."
Of de getroffen eigenaars hun bitcoins ooit nog terugzien, is maar zeer de vraag. "Voor wie het meemaakt, moet dit een totale nachtmerrie zijn", zegt Spaas. "Zeker voor mensen die dachten dat ze hun vermogen op de veiligst mogelijke manier hadden opgeslagen."
