Jameson Lopp, chief security officer bij Casa, heeft een open brief gestuurd aan klanten en de bitcoingemeenschap met een heldere boodschap: de golf aan wallet-hacks van de afgelopen maanden is een reden om je beveiliging op te schroeven, niet om je bitcoin over te hevelen naar een ETF of een custodian. De brief verscheen op 22 oktober, nu veel houders twijfelen of ze hun eigen sleutels nog kunnen vertrouwen.
Kerncijfers
- Buit Coldcard-exploit: circa 1.816 BTC
- Geschatte waarde: $88,6 tot $116 miljoen
- Seedsterkte getroffen Coldcards: van 128 naar soms 40 bits
- Leeggehaalde Qubic-wallets: 1.404 (ruim $1,4 miljoen)
Drie klappen in drie maanden
De twijfel komt niet uit het niets. Het zwaarste incident trof Coldcard, jarenlang een favoriet onder serieuze zelfbeheerders. Een firmwarefout uit maart 2021 zorgde ervoor dat het apparaat zijn ingebouwde hardwaregenerator voor willekeurige getallen oversloeg en terugviel op een voorspelbare softwarevariant. Volgens TRM Labs zakte de sterkte van sommige seeds daardoor van 128 bits naar soms nog maar 40 bits. Zwak genoeg om ze zonder fysieke toegang te kraken. Vanaf 30 juli werden zo ongeveer 1.816 BTC weggesluisd. TRM schat de schade op $116 miljoen, BleepingComputer kwam uit op $88,6 miljoen. Kraken-beveiligingschef Nick Percoco riep daarna op tot onafhankelijke tests van de manier waarop wallets hun seeds genereren.
| Incident | Moment | Oorzaak |
|---|---|---|
| Coldcard | Vanaf 30 juli | Zwakke willekeur bij seedgeneratie |
| Ledger via CryptoBilis | Onderzoek 13 oktober | Hardware-implantaat via reseller |
| Qubic | 17 en 18 oktober | Zwakke herstelseeds |
Daarna volgde een onderzoek naar Ledger-apparaten die via de Zuidoost-Aziatische reseller CryptoBilis waren verkocht. Ledger bevestigde dat in één toestel een ongeautoriseerd hardware-implantaat was gevonden, maar er is geen bewijs dat de eigen systemen of directe verkoopkanalen van het bedrijf zijn gecompromitteerd. En bij Qubic haalde een aanvaller tussen 23:42 UTC op 17 oktober en 01:26 UTC op 18 oktober 1.404 wallets leeg, goed voor zo’n 2,94 biljoen QU. Het netwerk werd stilgelegd en exchange MEXC bevroor een account dat 12,9 procent van de buit had ontvangen.
Voor wie minder thuis is in de techniek: je seed, meestal 12 of 24 woorden, is de bron waaruit al je privésleutels worden afgeleid. Is die niet echt willekeurig gegenereerd, dan kan een aanvaller hem uitrekenen zonder ooit je apparaat of je papiertje te zien.
Een ETF verplaatst het risico alleen
Lopp begrijpt dat beleggers na zulk nieuws liever een financiële instelling laten opdraaien voor de beveiliging. Dat gebeurt ook: in augustus meldde OKX recordinstroom na de Coldcard-exploit. Maar wie zijn sleutels afgeeft, legt de verantwoordelijkheid volgens Lopp gewoon bij een andere partij neer. Een bitcoin-ETF geeft blootstelling aan de koers, geen zeggenschap over de munten zelf. Je bent afhankelijk van het fonds, de custodian en iedereen daartussen, en hebt weinig in te brengen als autoriteiten tegoeden bevriezen of in beslag nemen. Lopp hamert al jaren op dat punt. Eerder schreef hij op X: “The only way to be sure that you actually own bitcoin rather than an IOU that has been sold to multiple people and may become unredeemable… is to withdraw to self custody.”
Multisig, maar dan echt gespreid
Zijn alternatief is multisig: een wallet waarbij meerdere sleutels nodig zijn om een transactie goed te keuren, zodat één gekraakte sleutel niet genoeg is. De Coldcard-affaire laat precies zien waarom Lopp zo nadrukkelijk wijst op spreiding over verschillende hardwareleveranciers en locaties. Een multisig waarvan alle sleutels op apparaten van dezelfde fabrikant zijn gemaakt, had bij een fout als deze weinig bescherming geboden. Lopp noemt multisig zelf ook geen wondermiddel. Op basis van ruim vijftien jaar aan incidenten stelt hij dat een goede opzet rekening moet houden met menselijke fouten en met het falen van losse beveiligingslagen. Ook erfenisplanning hoort daarbij: wat gebeurt er met je bitcoin als jij er niet meer bij kunt?
Een kanttekening mag er wel bij: Casa verdient zijn geld met multisig-oplossingen, dus helemaal belangeloos is deze brief niet. Dat maakt de redenering niet minder sterk. Wie een Coldcard-seed heeft die tussen maart 2021 en de patch is aangemaakt, heeft trouwens meer aan een concreet advies: een firmware-update repareert een bestaande zwakke seed niet. Dan zit er niets anders op dan een nieuwe wallet aan te maken en je tegoed over te zetten.
The post Na reeks wallet-hacks: Lopp roept bitcoiners op hun sleutels niet uit handen te geven appeared first on Coinliners.nl.