52 bitcoin uit Coldcard-lek gered, eigenaren kunnen ze terugvragen
Beveiligingsonderzoekers hebben 52,37 bitcoin uit het Coldcard-lek van juli ondergebracht bij de Crypto Recovery Trust, die de munten wil teruggeven. Wie bitcoin kwijtraakte, kan het walletadres op cryptorecoverytrust.com opzoeken en een claim indienen. Het gaat om 2,8 procent van de buit die onderzoekers volgen.
Waar de bitcoin nu staat
Alex Thorn, hoofd onderzoek bij Galaxy Digital, meldde maandag de overboeking. De 
BTC+1,68% gingen in blok 967.948 van de bitcoin-blockchain, het openbare register van bitcointransacties, naar een nieuw adres. De transactie bevatte een kort tekstbericht dat naar cryptorecoverytrust.com verwijst. Bij de koers van dinsdag waren de munten bijna 4 miljoen euro waard.
In het kort
- Maker Coinkite raadt firmwareversie 5.6.2 (Mk4/Mk5) en 1.5.2Q (Q) aan. Firmware is de software op het apparaat; een update repareert een bestaande seed, de reeks herstelwoorden, niet.
- Analisten volgden in augustus ruim 1.800 gestolen bitcoin van meer dan 5.200 adressen.
- De Crypto Recovery Trust valt onder het recht van Wyoming en heeft Agentic Trace LLC als beheerder.
De munten komen volgens Thorn uit de tweede aanvalsgolf en uit drie groepen adressen die zijn team volgt. White hats, onderzoekers die een lek gebruiken om munten veilig te stellen voordat een crimineel erbij kan, haalden ze weg.
De Crypto Recovery Trust valt onder het recht van de Amerikaanse staat Wyoming. Een trust is een juridische constructie waarin een beheerder bezit voor rechthebbenden beheert. Hier is dat Agentic Trace LLC. Voor teruggave gaat de trust via de blockchain na wie het adres beheerde en vraagt zij bewijs van eigendom. Ook controleert zij de aanvrager aan de hand van sanctielijsten, lijsten met personen en organisaties waarvoor beperkingen gelden.
DART, de organisatie achter de reddingsactie, meldde op 17 augustus dat het samen met onafhankelijke onderzoekers ruim 50 bitcoin had weggehaald bij kwetsbare adressen. Die onderzoekers vroegen daar geen beloning voor. Volgens Thorn hebben white hats inmiddels ongeveer 40 procent van de tweede aanvalsgolf veiliggesteld.
Het lek zat in het aanmaken van de seed
Een hardwarewallet is een apparaatje dat de sleutels van je crypto offline bewaart. Bij het eerste gebruik maakt het een seed aan, de reeks woorden waaruit alle sleutels volgen. Wie die woorden heeft, kan bij de munten.
Door een fout in de firmware, de software op het apparaat zelf, gebruikte Coldcard bij dat proces een softwarematige toevalsgenerator in plaats van de chip die echt toeval maakt. De generator was voorspelbaar. Daardoor konden aanvallers de sleutels zonder internetverbinding narekenen en de bitcoin wegboeken.
De apparaten zijn niet op afstand overgenomen, schrijft maker Coinkite op zijn statuspagina. De diefstallen begonnen op 30 juli. Een totaalbedrag noemt Coinkite niet; analisten die de gestolen munten volgen kwamen in augustus uit op ruim 1.800 bitcoin van meer dan 5.200 adressen.
Updaten repareert een bestaande seed niet
Coinkite raadt firmwareversie 5.6.2 aan voor de Mk4 en Mk5 en 1.5.2Q voor de Q. Deze versies verhelpen alleen de fout bij het aanmaken van nieuwe seeds. Een seed die met oudere firmware is gemaakt, blijft kwetsbaar, ook nadat het apparaat is bijgewerkt.
Het gaat om seeds die zijn aangemaakt op een Mk4, Mk5 of Q met firmware van vóór 5.6.0 of 1.5.0Q. Ook seeds op de oudere Mk2 en Mk3 met versie 4.0.1 tot en met 4.1.9 vallen hieronder.
Wie zo'n seed heeft, moet volgens de handleiding van Coinkite eerst de nieuwe firmware installeren en daarna een volledig nieuwe seed aanmaken. Stuur vervolgens een klein bedrag over om te controleren of het aankomt. Verplaats pas daarna de rest en bewaar de oude back-up tot alles binnen is.
Typ je seedwoorden nooit op een website in en stuur ze niet naar support, waarschuwt Coinkite. Dat geldt ook bij het indienen van een claim.