Coinkite, het Canadese bedrijf achter de hardwarematige bitcoin-wallet Coldcard, heeft een deel van de voorraad vernietigd nadat aanvallers via een beveiligingslek 88 miljoen dollar aan crypto wisten te stelen. Sommige slachtoffers verloren miljoenen dollars aan bitcoin. Via de Coldcard kunnen gebruikers hun bitcoin opslaan. De firmware van de wallets bevat een kwetsbaarheid bij het genereren van de wallet seed, waardoor die door aanvallers is te achterhalen. Die kunnen zodoende toegang krijgen tot de bitcoins in de wallet.

"Een complexe en reeks subtiele bugs zorgt bij een aantal firmware-versies ervoor dat de hardware RNG niet voor willekeur zorgt. Tot vandaag waren wij niet met het probleem bekend", aldus Coinkite in een beveiligingsbulletin. De fabrikant voegt toe dat de broncode van de bitcoin-wallet openbaar is en iemand vermoedelijk door middel van AI de firmware heeft onderzocht. Coinkite claimt dat het dit zelf ook heeft gedaan, maar de betreffende problemen toen niet werden gevonden. Volgens Galaxy Research hebben de aanvallers via het beveiligingslek van zo'n 4600 adressen ruim 88 miljoen dollar aan crypto weten te stelen.

In een gisteren uitgebrachte verklaring stelt Coinkite dat het alle Goldcard-wallets met de kwetsbare firmware heeft vernietigd. Volgens de fabrikant is vernietiging de enige optie. "Coldcard beschikt over een aantal high-security system locks. Eenmaal geprogrammeerd is upgraden niet mogelijk totdat de gebruiker het gebruikt. We kunnen geen versies met de kwetsbare firmware leveren en het risico lopen dat gebruikers de upgrade missen. De veiligste actie is het vernietigen van de resterende voorraad en alleen versies met de nieuwe gefixte firmware leveren." Coinkite heeft nog geen plannen aangekondigd om slachtoffers van de aanval te vergoeden.