Laatst bijgewerkt: 1 augustus 2026
Eind juli 2026 is er bitcoin gestolen door een fout in de firmware van Coldcard. Deze pagina legt in het Nederlands uit wat er is gebeurd, of jij risico loopt, en wat je eraan doet. Rustig, zonder paniek, en zonder dat je eerst cryptografie hoeft te studeren.
Heb je je Coldcard bij ons gekocht, dan heb je hierover ook persoonlijk bericht gehad. Heb je hem ergens anders gekocht: deze uitleg geldt net zo goed voor jou, en je mag ons mailen als je vastloopt.
Lees dit eerst
Wij vragen je nooit om je 24 woorden. Niemand doet dat. Niet per mail, niet aan de telefoon, en niet via een website die aanbiedt te controleren of jij kwetsbaar bent. Zulke sites bestaan nu, en ze zijn er om je te bestelen.
Er gaat op dit moment veel oplichting rond over dit onderwerp. Download firmware alleen van coldcard.com, en ga daarheen door het adres zelf in je browser te typen. Niet via een link in een mail, ook niet via een link in onze mail.
Wat er is gebeurd
In maart 2021 is bij een aanpassing van de Coldcard-firmware een bouwfout geslopen. Daardoor gebruikte het apparaat bij het aanmaken van een seed niet de hardware-randomgenerator, maar een voorspelbaar softwarealternatief. Vijf jaar lang, zonder dat het opviel.
Op 30 juli 2026 is daar misbruik van gemaakt. In minder dan een half uur werd ongeveer 594 bitcoin weggehaald uit circa 500 wallets. Coinkite, de maker van Coldcard, heeft de fout bevestigd en direct herstelfirmware uitgebracht.
Welke modellen zijn geraakt
| Model | Sterkte van de sleutel | Situatie |
|---|---|---|
| Mk3 | ongeveer 40 bits | Ernstig. Hier is de diefstal gebeurd. |
| Mk4, Mk5, Q | ongeveer 72 bits | Zwakker dan bedoeld, maar niet praktisch te kraken. Geen bekende diefstallen. |
Bedoeld was 128 bits. De Q, Mk4 en Mk5 komen hoger uit omdat die modellen extra willekeur uit twee beveiligingschips meemengen. Dat verschil is precies de reden dat bij die modellen niets is buitgemaakt.
De herstelfirmware:
- Coldcard Q: versie 1.5.0Q of nieuwer (Edge: 6.6.0QX)
- Mk4 en Mk5: versie 5.6.0 of nieuwer (Edge: 6.6.0X)
- Mk3: versie 4.2.0
Loop jij risico
Je bent niet geraakt als een van deze punten voor jou geldt:
- Je hebt je seed geimporteerd. Wie zijn 24 woorden zelf heeft ingevoerd, van papier of van een ander apparaat, is niet geraakt. De fout zit alleen in het aanmaken.
- Je hebt met dobbelstenen gewerkt. Minstens 50 eerlijke, prive gegooide worpen tijdens het aanmaken van de seed. Die willekeur kwam van jou en is niet aangetast. Wil je zekerheid, houd dan 100 worpen aan.
- Je gebruikt een sterke, unieke passphrase. Dat is een compleet aparte wallet. Sterk beschermend, maar het blijft een pleister op een zwakke basis, dus migreren blijft het advies.
Weet je het niet zeker? Ga er dan van uit dat je geraakt bent. Dat is ook de lijn van Coinkite.
Wat je moet doen
Het belangrijkste eerst: doe dit rustig. Deze maand, niet vanavond. Een gehaaste verhuizing van je bitcoin is op dit moment een groter risico dan de fout zelf. De meeste mensen die hier geld door verliezen, verliezen dat aan een fout in hun eigen backup, niet aan een aanvaller.
Stap 1. Werk je Coldcard bij
Download de firmware van coldcard.com, door dat adres zelf in te typen. Voor de Q heb je versie 1.5.0Q of nieuwer nodig.
Stap 2. Maak een nieuwe seed aan
Dit is de stap die mensen overslaan. Updaten alleen repareert je bestaande seed niet, die blijft precies zoals hij was. Er moet echt een nieuwe komen.
Op bijgewerkte firmware is de eigen willekeur van het apparaat weer voldoende. Dobbelstenen zijn optioneel. Wil je ze toch gebruiken, doe dan minstens 50 worpen, en doe ze allemaal.
Stap 3. Controleer je backup voordat je iets verstuurt
Schrijf de nieuwe woorden op en verifieer ze op het apparaat. Sla ze nooit digitaal op: geen foto, geen wachtwoordmanager, geen cloud, niet intypen op een computer.
Stap 4. Test met een klein bedrag
Stuur iets kleins naar je nieuwe wallet en haal het weer terug. Werkt dat, dan klopt je backup en klopt je opstelling.
Stap 5. Verhuis de rest, in stappen
En bewaar je oude backup tot alles is aangekomen en bevestigd. Gooi hem niet weg zodra de eerste transactie is verstuurd.
Over passphrases
Als je een passphrase gebruikt of gaat gebruiken: kies zelf zes willekeurige woorden. Laat nooit een AI je passphrase genereren of controleren. Dat is geen theoretisch advies, dat is precies het soort fout waardoor mensen hun bitcoin kwijtraken.
Let ook op: er wordt geen enkele controle op je passphrase uitgevoerd. Elke passphrase opent een geldige wallet, ook een passphrase met een typefout. Alleen dan staat je bitcoin er niet in. Controleer daarom altijd de fingerprint.
Wat wij hiervan hebben geleerd
Twee dingen, en we passen ze allebei toe.
Ten eerste: eigen willekeur toevoegen is geen paranoia. Wie destijds dobbelstenen gebruikte, is door deze fout niet geraakt. Dat advies staat vanaf nu standaard in onze handleidingen en in de doos.
Ten tweede: een enkele leverancier vertrouwen is een risico dat je zelf in de hand hebt. Een passphrase of een multisig-opstelling zorgt ervoor dat een fout bij een fabrikant je niet je hele stapel kost.
Hulp nodig
Loop je vast, of vind je dit gewoon spannend? Mail ons. We lopen het stap voor stap met je door, ook als je je Coldcard niet bij ons hebt gekocht.