Wat is er gebeurd met de Coldcard wallet? Welke crypto wallets zijn nog veilig?
Al jaren horen crypto gebruikers dat zij zelf verantwoordelijk moeten zijn voor de opslag en veiligheid van hun Bitcoin en andere cryptocurrencies. Dit kun je doen door crypto wallets te gebruiken die self custodial zijn (jij beheert zelf de sleutels/ wachtwoorden), zoals Ledger of Trezor bijvoorbeeld. Echter, op 29 juli begon toch een van de grootste hacks van self custodial crypto wallets, specifiek gericht op de Coldcard wallet. De Coldcard wallet is een Bitcoin wallet waar duizenden mensen hun Bitcoin veilig dachten op te kunnen slaan, maar op 29 juli ging het helemaal mis; er is namelijk inmiddels voor meer dan honderd miljoen dollar aan Bitcoin gestolen van duizenden gebruikers.
De wallets van Coldcard werden beveiligd door de zogenaamde ‘seed phrase’. Een seed phrase is een combinatie van 12 of 24 woorden die alleen jij als gebruiker hoort te weten. Veel wallets, zoals MetaMask bijvoorbeeld, maken gebruik van de seed phrase beveiligingsmethode. Een seed phrase beveiliging zou een van de veiligere manieren moeten zijn om je Bitcoin en crypto te beveiligen, maar toch ging het faliekant mis: hackers wisten een manier te vinden om de seed phrases van gebruikers goed te ‘gokken’ met behulp van AI en hierdoor verloren gebruikers dus samen honderden miljoenen. En aangezien meerdere crypto wallets gebruikmaken van een dergelijke manier van beveiliging, luidt nu de vraag: hoe veilig kun je jouw Bitcoin en crypto nog opslaan op crypto wallets?
Wat is er precies gebeurd met de crypto wallets van Coldcard?
Zoals iedereen die weleens een Bitcoin of crypto wallet heeft geïnstalleerd weet, is dat je direct (in veel gevallen) een seed phrase krijgt. Deze combinatie van woorden is in principe onmogelijk om te raden, en vaak krijg je ook nog de optie om een multisig in te stellen; hiermee moet je transacties middels meerdere apparaten goedkeuren: doe dit (én 2FA) dus altijd! Gebruikers van de Coldcard crypto wallets hadden ook een seed phrase (en ook de optie tot multisig) en veel van deze seed phrases zijn ‘geraden’ door een slimme hack.
Dit ging als volgt: een seed phrase hoort volledig willekeurig te zijn, waardoor raden voor zelfs de snelste computers zinloos is. De Coldcard heeft daarvoor een speciale hardware-randomgenerator, maar door een softwarefout (sinds maart 2021) werd die stap overgeslagen. In plaats daarvan baseerde het apparaat de seed phrase op twee ingrediënten die helemaal niet geheim zijn: het serienummer van de chip en de stand van de interne klok op het moment van aanmaken. De hackers die deze fout ontdekten, konden vervolgens op hun gemak alle mogelijke combinaties ‘berekenen’. Dus, is een seed phrase nu waardeloos? Nee! De fout zit ‘m puur in hoe Coldcard de seed phrases aanmaakte, niet in het systeem zelf.
Hoe maak je zo veilig mogelijk gebruik van externe (cold) wallets?
De schrik zit er goed in bij de crypto, en vooral, de Bitcoin gemeenschap. Zoals gezegd hebben precies de mensen die dit is overkomen het juiste gedaan de afgelopen jaren: een (ogenschijnlijk) veilige wallet gekocht, de seed phrase netjes opgeschreven en offline bewaard. Het vertrouwen in cryptocurrencies zal hiermee ook flink wat schade oplopen, maar toch is de ‘crypto wallet’ ansich niet per sé onveilig, of veiliger/ onveiliger dan de opslag op een crypto exchange. Wat Coldcard is overkomen is puur een technische fout van het bedrijf zelf, en ontdoet dus geen kracht aan de seed phrase zelf.
Wij raden onze lezers aan goed in de gaten te houden welke wallet zij gebruiken en wat de officiële kanalen zeggen over hun eigen wallets naar aanleiding van deze hack!
