En kanadensisk entreprenör förlorade mer än 1,6 miljoner USD i Bitcoin (BTC) från en Coldcard hårdvaruplånbok på mindre än sju minuter, som en del i en attackvåg som kan omfatta totalt 1 367,05 BTC.
Fallet visar en obekväm sanning om egen förvaring: att göra allt rätt kanske ändå inte räcker.
Hur en person förlorade 18 BTC på sju minuter
Kall förvaring betyder att man förvarar privata nycklar på en enhet som aldrig har varit ansluten till internet. Jonathan Goodman följde detta noggrant och förvarade sin Coldcard i ett bankfack.
Hans 18,25 BTC låg i plånböcker som var säkrade i flera kassaskåp. Han delade aldrig med sig av sin seed phrase och höll alla enheter helt isolerade från internet.
Men den 29 juli 2026 spelade det ingen roll. Mellan 21:36 och 21:43 på kvällen tömdes alla plånböcker han kontrollerade.
Följ oss på X för att få de senaste nyheterna direkt.
Goodman fick först höra om ett större problem när han var i sitt sommarhus.
Han trodde inte att det skulle drabba honom, men tittade ändå på saldot i Wasabi-plånboken och såg flera röda uttag.
Sårbarheten går tillbaka till 2021. Ett fel i mjukvaran som tar fram seed phrases gjorde vissa enheter utsatta. Angripare använde troligen artificiell intelligens för att knäcka dessa seed phrases.
Han har anmält stölderna till polisen och Ontario Securities Commission. Han tror inte mycket på att få tillbaka några pengar, men skriver att det svåraste är att han gjort allt rätt.
Problemet gäller långt fler än en person. Galaxy Research upptäckte tre misstänkta attackvågor mot adresser skapade av Coldcard-enheter.
Dessa vågor berörde 4 585 adresser och tömde 1 367,05 BTC, vilket motsvarade ungefär 88,6 miljoner USD vid rapporteringen.
Det Galaxy Research hittade i attackdatan
Chefen för Galaxy Research, Alex Thorn, säger att attackerna verkar fortsätta. Han uppmanade alla som inte flyttat sina tillgångar från sårbara inställningar att agera direkt.
De två första attackvågorna visade liknande transaktionsmönster och kan ha samma ansvariga person, men inget är säkert. Den tredje vågen skiljde sig mycket, vilket tyder på att någon med nya verktyg eller en annan angripare utnyttjade samma säkerhetsbrist.
De stulna Bitcoin ligger fortfarande kvar i adresser som angriparna kontrollerar och har inte flyttats vidare. De tömda plånböckerna hade varit orörda i genomsnitt 3,18 år, vilket visar att de flesta offer troligen var långsiktiga användare och inte företag.
Galaxy påpekar dock en sak. Slutsatserna bygger bara på data på blockkedjan. Man har inte helt bekräftat att slumpen i adressgenereringen verkligen varit tillräckligt dålig.
“Detta är ett hårt slag mot egen förvaring av bitcoin och vi måste göra bättre ifrån oss som community: med säkerhet, med utbildning och med att vara realistiska kring komplexitet, förväntningar och råd vi ger till vänner, familj och allmänheten”, sa Alex Thorn .
Analytikern Shanaka Anslem Perera pekade på ironi i Coldcards dokumentation. Manualen beskriver deras standardmetod för seed-uträkning som den säkraste, samtidigt som den anses vara låg risk för användare.
Prenumerera på vår YouTube-kanal för att se experter ge sina insikter.
Det finns andra möjligheter i samma enhet. Användare kan kombinera hårdvarans kod med tärningskast eller bara använda tärning, vilket enligt manualen gör att man inte behöver lita på hårdvaran alls. De flesta valde antagligen standardvägen. Det är just den metod Galaxy Research nu kopplar till förlusterna.
Det underliggande dilemmat är djupare. Reproducerbarhet, som är viktig för att granska firmware, blir en risk vid hemlig utdelning, eftersom både svaga och starka seed phrases kan skapa giltiga 24-ordsfraser som ser likadana ut.
Enheter som marknadsförs med “Lita inte, verifiera” kan ändå ha brister i slumpgeneratorn utan synliga spår. De drabbade användarna bör se över sina metoder och flytta tillgångarna om det behövs.
