Förlusterna efter Coldcard-hack ökar medan analytiker är oeniga om totalt antal stulna Bitcoin

Nästan två veckor efter att angripare började tömma Bitcoin från komprometterade Coldcard-hårdvaruplånböcker arbetar blockkedjeutredare fortfarande med att fastställa den fulla omfattningen av vad analytiker kallar det värsta misslyckandet inom självförvaltning i Bitcoins historia. Uppskattningar av de totala förlusterna sträcker sig från cirka 100 miljoner till 130 miljoner dollar, där den slutgiltiga summan sannolikt förblir osäker eftersom offren själva måste rapportera in förlusterna.

Utredare oeniga om förlustsiffror

Galaxy Research, lett av Alex Thorn, satte sitt minimumsanslag till 1 730 BTC per tisdag, med ett potentiellt tak nära 1 816 BTC. Thorn berättade för Cointelegraph att över 450 BTC hade bekräftats direkt genom rapporter från offer, vilket i sin tur hjälpte till att identifiera ytterligare okända offer som tillsammans innehade över 730 BTC. TRM Labs uppskattade oberoende att angripare tömde cirka 1 816 BTC från mer än 5 200 adresser över fyra vågor, och Ari Redbord, global chef för policy, varnade för att siffran förväntas stiga ytterligare.tradingview+1

CryptoQuant har en striktare metod baserad på avslöjanden. Forskningschefen Julio Moreno sa att plattformens bekräftade siffra ligger på 1 432 BTC, och beskrev det som ett golv. "Eftersom den stulna Bitcoinen tillhörde individer och inte en centraliserad enhet, som en börs, kan vi bara bekräfta det som varje offer offentligt redovisar," sa Moreno.crypto-economy+1

Hur felet fungerade

Sårbarheten kan spåras till en ändring i fastvaran i mars 2021 som gjorde att Coldcards generering av seed-fraser kringgick enhetens hårdvarubaserade slumptalsgenerator. Istället användes en förutsägbar mjukvarufunktion med så lite som 40 bitars effektiv entropi istället för de avsedda 128. Denna reduktion gjorde det beräkningsmässigt möjligt att återställa nycklar utan fysisk tillgång till enheten. Minst 15 oberoende angripare utnyttjade svagheten från och med den 30 juli och tömde medel från tusentals plånböcker med en signatur i snabb följd.forbes+3

Bitcoin-utvecklaren James O'Beirne har sagt att han uppmärksammade Coinkite på den bristfälliga koden i maj 2025, mer än fjorton månader innan utnyttjandet blev känt. Enligt rapportering från Phemex var Coinkites svar att problemet sannolikt redan skulle ha manifesterat sig om det vore verkligt.phemex

Efterspel och branschens respons

Coinkite distribuerade uppdaterad fastvara den 31 juli men varnade för att uppdateringen inte kan förbättra entropin i seed-fraser som redan genererats. Berörda användare måste skapa helt nya seed-fraser och flytta sina medel. Företaget återkallade också sin policy för automatisk radering av kunddata den 6 och 7 augusti, med hänvisning till "pågående och förväntade rättsliga förfaranden," även om inga stämningar har lämnats in offentligt.etfdb+1

Händelsen har återuppväckt debatten om självförvaltning kontra institutionella lösningar. På Bloomberg Crypto sa Thorn att Bitcoin skulle "överleva" intrånget, och ramade in det som ett tillverkarfel snarare än ett protokollfel. River, ett finansiellt tjänsteföretag för Bitcoin, instämde i den distinktionen: "Coldcard-sårbarheten påverkar inte Bitcoin-protokollet eller något relaterat till hur Bitcoin fungerar."bloomberg+2

Trots detta har episoden drivit kapital mot börshandlade produkter. Spot Bitcoin-ETF:er noterade 853 miljoner dollar i nettoinflöden för veckan som slutade den 7 augusti, den starkaste veckosiffran sedan mitten av april. BlackRocks ↗ 1.05% iShares Bitcoin Trust tog emot majoriteten av dessa inflöden.cryptorank+1

För innehavare som fortfarande använder berörda enheter är budskapet från forskare entydigt: att bara uppdatera fastvaran räcker inte. Endast en nyskapad seed-fras på bekräftad uppdaterad fastvara säkrar kvarvarande medel.phemex+1