More than 1128.47 BTC were stolen from Coldcard Physical Hardware Storage

[BALIK]

Click dito para makita ang live update.

Mga kaibigan,

May nakita ako ngayong araw na talagang nag alala sa akin, kaya naisip kong magbigay ng mabilis na warning sa ating mga kapatid dito sa local forum. Para sa mga gumagamit ng Coldcard hardware wallet para sa Bitcoin storage, mukhang medyo risky ang situation sa ngayon.

Nagbigay ng impormasyon ang Coldcard:

• Mahigit 1128.4717 BTC na ang na-drain sa ngayon.
• Kung nag-generate ka ng iyong seed gamit ang version 4.0.1 at mas bago sa Mk3, ang yong fund ay nasa malaking risk.
• Sinabi rin nila na ang Mk4, Q, at Mk5 ay hindi apektado.

Pero masasabi ko na mas mabuting iwasan muna ang paggamit ng buong Coldcard storage. Para sa akin, mukhang vulnerable ang lahat ng kanilang device.

Mga kapatid, ang security ang pinakamahalagang bagay sa crypto. Isang bagay na lagi kong sinusunod ay hindi ko kailanman inistore ang lahat ng aking Bitcoins sa iisang wallet.

Hindi ko sinasabi na gumawa lang kayo ng separate accounts sa loob ng isang wallet. Kung gusto ninyong maging safe, dapat gumamit kayo ng magkakaibang trusted wallet brands.

Kung gumagamit ka ng Electrum, siguraduhin na mag-set ka ng isang malakas na passphrase kapag gumagawa ng bagong wallet.
Sa ganitong paraan, hindi ito madaling ma-crack gamit ang brute-force attack.
Sa parehong paraan, hatiin din ang iyong fund at itago ang mga ito sa iba pang magaganda at trusted wallet brands.
Ito ang mas ligtas na paraan.


Vendor advisory post:
https://blog.coinkite.com/coldcard-mk3-seed-generation-warning
Technical deep dive:
https://blog.coinkite.com/entropy-technical-backgrounder
Basahin ang reaction ng community:
https://bitcointalk.org/index.php?topic=5589927

[cryptoaddictchie]

Yes with the news pinned on forum this is actually a good update. Thanks for sharing the actual details kabayan. Sana ay walang naapektuhan na kababayan natin. Keep safe everyone!

https://x.com/Rob1Ham/status/2082896614218203616

[EDIT]

Vendor advisory post:
https://blog.coinkite.com/coldcard-mk3-seed-generation-warning/

Technical deep dive:
https://blog.coinkite.com/entropy-technical-backgrounder/


From Reddit:

Hoax__

It doesn't appear to be an isolated theft. The receiving address 'bc1qnk4zh9qcnap2mycp56qjrgza3cc8ylrh8fecp0' has received about 594 BTC (approx $37.8M) from 500 different addresses in a 15 min window (between 01:31-01:56 UTC 30/07/26). Many of the other sending addresses have been dormant for years, similar to your address. All the affected addresses contained more that 0.15 BTC at the time of the transactions.

The only way to issue a sending transaction is to have the associated private key/seed phrase. For the volume of address suspected to be compromised there could be two potential attack vectors. Either be a supply chain attack, when the hardware device purchased was compromised. Or it could be a cryptographic flaw within the hardware device where the device generates users seed phrases in such a way that an attacker could predict them, similar to the Ill Bloom vulnerability from earlier in the month.

Theft address has consolidated most of the funds in bc1qq85v2c926eg6pgxhwp6q7lf6cnsz80qs3fcu9r.

Btw OP mayroon wrong spelling sa title:


Re: More than 1128.47 BTC were stolen from Coldcard Phisical Hardware Storage
^{Kindly edit na lang. Thanks}

[blockman]

Kita ko nga din sa news title ng forum. Nagbabasa basa lang ako at bigla din akong natakot sa mga nakikita ko dahil isa yan sa pinakatrusted at madaming may may-ari ng coldcard. May mga nagsasabi pa na ito na daw yung quantum computing na decrypt ng mga wallets natin. Hindi ko lang sure kung may mga kababayan tayo na owner baka si mk4 doon galing din yung name niya. Magbasa basa nalang din sa main thread para sa mga iba pang mga update. Nakakalungkot na madami ng nabiktima, sana hindi na masundan at may biglaan lang na magbago isip ng hacker na magbalik ng mga nakuha niya. 

[crwth]

Posted in the other topic, and curious ako kung ano yung official na nangyari. Nagulat ako na may gumawa ng ganyan, and I think AI ang tumulong. May nabasa kasi ako tungkol dun sa X.

Nung nag post ako, nasa 600BTC pa lang pero grabe talaga.

https://bitcointalk.org/index.php?topic=5589927.msg66996486#msg66996486

Minsan, kaya gusto ko din yung multi seed and I hope yung mga meron nyan ay makapag cashout and lipat na sa tamang wallet.

[coinrifft]

Nabasa ko 3 hours ago bago pa magka pin message. Iba talaga na ngayon, biruin nyo mismong hardware wallet ang tinira nitong mga scammers or hackers na to. Malupitan ang atake nila dahil maging sophisticated tong attack na to.

At palagay mo malalim ang mga aral ng tumira na to at hindi basta basta. Ang tanong nga lang eh paano hindi ito nakita ng Coldcard for many years? Sila talaga ang nagkulang dito. Na hindi sila nag series ng test kung may vulnerability ang hardware wallet nila.

[SFR10]

• Sinabi rin nila na ang Mk4, Q, at Mk5 ay hindi apektado.

Vulnerable din ang mga ito kabayan, pero less severe lang.

Ang tanong nga lang eh paano hindi ito nakita ng Coldcard for many years? Sila talaga ang nagkulang dito. Na hindi sila nag series ng test kung may vulnerability ang hardware wallet nila.

Naging greedy kasi si NVK nung nalaman niya na ang passport HW was made based on firmware nila "at that time ^{[GPL license (open-source)]}", kaya binago nila ang license into MIT+CC ^{[source-available, pero hindi pwedeng gamitin sa ibang products]} at dito nagsimula ang lahat dahil a few developers na lang ang nagche-check ng code nila.

[abel1337]

• Sinabi rin nila na ang Mk4, Q, at Mk5 ay hindi apektado.

Vulnerable din ang mga ito kabayan, pero less severe lang.

Ang tanong nga lang eh paano hindi ito nakita ng Coldcard for many years? Sila talaga ang nagkulang dito. Na hindi sila nag series ng test kung may vulnerability ang hardware wallet nila.

Naging greedy kasi si NVK nung nalaman niya na ang passport HW was made based on firmware nila "at that time ^{[GPL license (open-source)]}", kaya binago nila ang license into MIT+CC ^{[source-available, pero hindi pwedeng gamitin sa ibang products]} at dito nagsimula ang lahat dahil a few developers na lang ang nagche-check ng code nila.

Hindi ba nila pina audit yung code nila given na hardware wallet company sila at ang main product nila ay nag fofocus sa security? It's kinda iresponsible na ma break yung product wallet nila dahil sa bad management at decision nila. Wala akong coldcard mk3 or anything from them kaya safe padin yung bitcoin ko.

I would panic if magka vulnerabilities din ang ledger 

Though eye opener to sigurado sa mga hardware wallet companies na wag silang maging kampante sa codes nila at each updates ay dapat audited. For sure yung coinkite sales after this would be at their all time low at possible din sila ma bankrupt dahil dito.

[SFR10]

Hindi ba nila pina audit yung code nila given na hardware wallet company sila at ang main product nila ay nag fofocus sa security?
[...]
at each updates ay dapat audited.

Hindi ako sigurado kung pina-audit nila yung code nila dati sa isang independent security firm o hindi, pero AFAIK it usually takes a lot of time and money para sa mga ganitong bagay, so by the time na na-audit ang lumang firmware, baka may bagong vulnerability sa latest firmware nila ^{[kahit hindi pa rin ibig sabihin na 100% safe (e.g., failure to spot a vulnerability by security firms), agree ako na dapat madalas nilang gawin ito]}.

• I would panic if magka vulnerabilities din ang ledger 
  

  If I were you kabayan, I'd switch to another HW brand bago mangyari yan ^{[bukod pa dun, kahit optional ang Ledger Recover, malaki ang chance na may access parin sila at pag na-hack ang database nila, maaring mawala ang assets mo]}.
  

[PX-Z]

Is there announcement or news on how coldcard will be liable on such incident, will they refund to those proven user of coldcard? Because this is not just a normal phishing like incident kung saan ang user ang may sole responsibility sa action niya, and not this one, lalo na sa mga long time holders since ma introduce at gumamit ng coldcard HW years ago.

[BALIK]

May mga nagsasabi pa na ito na daw yung quantum computing na decrypt ng mga wallets natin.

pero wala pang anumang ebidensya na nagpapatunay nito.

Batay sa impormasyong lumabas, ang problema ay isang implementation bug na may kaugnayan sa entropy o RNG ng seed generation. Wala itong kinalaman sa pagbasag sa cryptography ng Bitcoin.

Nagulat ako na may gumawa ng ganyan, and I think AI ang tumulong. May nabasa kasi ako tungkol dun sa X.

Nung nag post ako, nasa 600BTC pa lang pero grabe talaga.
https://bitcointalk.org/index.php?topic=5589927.msg66996486#msg66996486

Minsan, kaya gusto ko din yung multi seed and I hope yung mga meron nyan ay makapag cashout and lipat na sa tamang wallet.

Akala ko rin sa simula na baka naging mas madali ang attack dahil sa AI.

Pero sa tingin ko, wala talagang role ang AI dito. Kahit wala ang AI, kaya pa rin ng mga hackers na magsagawa ng Brute-force attack dahil hindi sapat ang randomness na ginamit dito.

Tama ka, ang paggamit ng multisig ay marahil ang pinakamagandang paraan para manatiling ligtas ngayon.

[robelneo]

May mga nagsasabi pa na ito na daw yung quantum computing na decrypt ng mga wallets natin.

pero wala pang anumang ebidensya na nagpapatunay nito.

Base sa article na nabasa ko ang bug ay dati ng nandoon sa simula pa lamang at ngayon lang na exploit biruin mo 25 minutes para masimot yung $38 million worth of Bitcoin.

Every drained wallet was single-signature and each held more than 0.15 BTC. Many had been dormant for years and the coins spanned 2021 to 2026, matching the flaw's age almost exactly.
Exposure depends on the firmware the device was running at the moment the wallet was first created, not on when the hardware was bought.

https://www.coindesk.com/tech/2026/07/31/major-bitcoin-wallet-flaw-drains-594-btc-in-25-minute-sweep

Dapat ng tingnan uli ng mga manufacturer ng hardwarewallets kung may mga flaws ang kanilang mga ginawang wallets at malaking kasiraan ito sa reputasyon ng colcard, kaya nga tayo bumibili ng hardware wallet para sa maximum security ng mga coins natin pero ganito pa mangyayari.

[coin-investor]

Sa totoo lang pag ka hardware ang na hack ay maituturing na malaking issue, kasi itinuturing itong non custodial wallet kung saan ang trust ng gumagamit ay 100%, sa maraming post natin sa mga naghahanap ng pinaka ecure na wallet ang palagi nating nababanggit ay hardware wallet, pero paano kung nangyayari ito sa pinaniniwalaan nating pinaka secure na storage ng wallet natin.
Kaya dapat basahin din natin ang mga latest reviews sa mga hardware wallets lalo na ngayong sobrang daming AI naglipana na karamihan ay ginagamit sa hacking at social engineering.

[PX-Z]

Sa totoo lang pag ka hardware ang na hack ay maituturing na malaking issue, kasi itinuturing itong non custodial wallet kung saan ang trust ng gumagamit ay 100%, sa maraming post natin sa mga naghahanap ng pinaka ecure na wallet ang palagi nating nababanggit ay hardware wallet, pero paano kung nangyayari ito sa pinaniniwalaan nating pinaka secure na storage ng wallet natin.
Kaya dapat basahin din natin ang mga latest reviews sa mga hardware wallets lalo na ngayong sobrang daming AI naglipana na karamihan ay ginagamit sa hacking at social engineering.

The expectations kase ng nakararami ay secure ang Hardware wallet which is usually true, the issue is how their method of seed generation is too weak compare sa ibang HW or sa standard. Regardless the reviews the one with good track record, years in service already with good reputation and regular code audit reviews ang dapat tignan before buying HW

[julerz12]

Grabe 'to. Madalas ko pa namang nakikita na nagpapa-give-away sila sa X ng mga bagong Coldcard.  
I guess sa mga nanalo on those giveaways, safe ang funds nila since mga old unit 'lang naman affected 'di ba? I doubt they'll send out older units sa previous giveaway nila. cmiiw

What's sadder is karamihan sa mga affected users, 'yung mga ilang taon nang nag-DCA para lang makaipon ng BTC. Most of them 8 to 10 years pinag-ipunan.  
https://www.reddit.com/r/Bitcoin/s/hCJV8D7EoE
https://www.reddit.com/r/Bitcoin/s/GW25bMllGx
https://www.reddit.com/r/Bitcoin/s/X1E8Aur6o3
https://www.reddit.com/r/Bitcoin/s/GaYEBYVTJR

Ang tanong ngayon, will this company compensate the users' losses? Malaki-laking halaga din ’yan.

[Peanutswar]

Nabalitaan ko na lang din yung sa news regarding dito sa social media kaya nagulat din ako may naka bold na pinned message sa news natin dito sa forum. So meaning nag ka vulnerability yung hardware wallet na cold card and basically most of their wallet is nanakawan ng crypto so wondering ako paano ito nag simula sorry di ako medyo technical pag dating sa mga wallet configuration eh, so kung tama ba pag kakaintindi ko is nahulaan nila ung password configuration paano nag generate ng seed tapos ayun yung ginamit nila to hunt wallets even offline ng mga seed phrase?.

[fullfitlarry]

Ang tanong ngayon, will this company compensate the users' losses? Malaki-laking halaga din ’yan.

Wala pa akong naririnig na tungkol dito, kung i-compensate nila ang mga biktima dahil kita naman na sila ay may kagagawan nito.

Ang sabi lang ay i-moved ang kanilang Bitcoin sa ibang wallet. Pero dapat may accountability ang Coldcard dito. Kaya kawawa talaga yung mga gumamit ng hardware wallet nila na hindi pala random ang entropy. Kaya ito ang attack surface na ginamit.

[abel1337]

Hindi ba nila pina audit yung code nila given na hardware wallet company sila at ang main product nila ay nag fofocus sa security?
[...]
at each updates ay dapat audited.

Hindi ako sigurado kung pina-audit nila yung code nila dati sa isang independent security firm o hindi, pero AFAIK it usually takes a lot of time and money para sa mga ganitong bagay, so by the time na na-audit ang lumang firmware, baka may bagong vulnerability sa latest firmware nila ^{[kahit hindi pa rin ibig sabihin na 100% safe (e.g., failure to spot a vulnerability by security firms), agree ako na dapat madalas nilang gawin ito]}.

Yep costly talaga mag pa audit pero this hack is a proof na hindi bullet proof ang hardware wallets at I think yung mga exisiting hardware wallet companies like ledger, trezor etc. yung mga need mag pa re-audit ng codes nila kasi I believe na all time low ang trust ng tao sa hardware wallet right now and maapektuhan sila pag hindi nila ma gain back yung trust ng crypto community and even future buyers nila. Affected sila sa ayaw at gusto nila. Need pa nila additional proofs na safe sila kahit mahal at it takes time yung auditing.

• I would panic if magka vulnerabilities din ang ledger 
  

  If I were you kabayan, I'd switch to another HW brand bago mangyari yan ^{[bukod pa dun, kahit optional ang Ledger Recover, malaki ang chance na may access parin sila at pag na-hack ang database nila, maaring mawala ang assets mo]}.
  

Diniversify ko na yung bitcoins ko in 3 different hardware wallet, lahat is different brands. Natuto nako nung na hack yung non-custodial wallet ko before haha.

[SFR10]

I guess sa mga nanalo on those giveaways, safe ang funds nila since mga old unit 'lang naman affected 'di ba?

Depende ito sa kung anong firmware ang ginamit sa pag-generate ng seed phrase nila ^{[e.g., for Mk2/Mk3 (v4.0.1 to v4.1.9) while for Mk4/Mk5/Q (lahat ng mga naunang versions)]}.

so wondering ako paano ito nag simula sorry di ako medyo technical pag dating sa mga wallet configuration eh,

Kakapost ni Cyber Scrilla ng TL;DR version sa YT channel niya ^{[I'm sure makakatulong ito]}: The ColdCard Hack Simply Explained

at I think yung mga exisiting hardware wallet companies like ledger, trezor etc. yung mga need mag pa re-audit ng codes nila kasi I believe na all time low ang trust ng tao sa hardware wallet right now

Regarding Trezor, marami ang nagmo-monitor nito dahil open-source yung code nila at maraming HWs ang gumagamit ng code nila, pero agree ako na dapat regularly magpa-audit ang mga HW brands na either closed-source or source-available.

[blockman]

May mga nagsasabi pa na ito na daw yung quantum computing na decrypt ng mga wallets natin.

pero wala pang anumang ebidensya na nagpapatunay nito.

Batay sa impormasyong lumabas, ang problema ay isang implementation bug na may kaugnayan sa entropy o RNG ng seed generation. Wala itong kinalaman sa pagbasag sa cryptography ng Bitcoin.

Mabuti nalang at hindi totoo yung mga rumor na nabasa ko. Masyado ding sabay sa nangyari sa pagpapakalat ng fud at bug nga ang pinaka reason kung bakit nagkaroon ng ganitong issue.

Base sa article na nabasa ko ang bug ay dati ng nandoon sa simula pa lamang at ngayon lang na exploit biruin mo 25 minutes para masimot yung $38 million worth of Bitcoin.

Every drained wallet was single-signature and each held more than 0.15 BTC. Many had been dormant for years and the coins spanned 2021 to 2026, matching the flaw's age almost exactly.
Exposure depends on the firmware the device was running at the moment the wallet was first created, not on when the hardware was bought.

https://www.coindesk.com/tech/2026/07/31/major-bitcoin-wallet-flaw-drains-594-btc-in-25-minute-sweep

Dapat ng tingnan uli ng mga manufacturer ng hardwarewallets kung may mga flaws ang kanilang mga ginawang wallets at malaking kasiraan ito sa reputasyon ng colcard, kaya nga tayo bumibili ng hardware wallet para sa maximum security ng mga coins natin pero ganito pa mangyayari.

Tama, bug entropy yung pinaka main reason. At mukhang hindi pa yan tapos, madami pa siguro madadagdag diyan. Nakakalungkot lang isipin na ang daming mga victims nagpahayag nang nangyari sa kanila. Wala naman problema sa hardware wallet na prinoduce nila, more on software bug yan na naging cause ng negligence nila.

[demonica]

Ang tanong ngayon, will this company compensate the users' losses? Malaki-laking halaga din ’yan.

Wala pa akong naririnig na tungkol dito, kung i-compensate nila ang mga biktima dahil kita naman na sila ay may kagagawan nito.

Ang sabi lang ay i-moved ang kanilang Bitcoin sa ibang wallet. Pero dapat may accountability ang Coldcard dito. Kaya kawawa talaga yung mga gumamit ng hardware wallet nila na hindi pala random ang entropy. Kaya ito ang attack surface na ginamit.

Nakakabigla talaga itong pangyayari. Ang laking halaga ang nawala. Although kung titignan natin, responsibility talaga ng Coldcard ito, dapat ay maging mabilis din yung action na ginagawa nila para mas maiwasan pang lalong lumaki ang involve na amount na makuha.

Pero kaya ba nilang i-compensate yung ganito kalaking amount? Parang mahirap umasa na i-compensate nila lahat ng losses. Sa ngayon ay siguro, ang magagawa lang natin ay antayin kung anong sunod na ilalabas na announcement ni Coldcard patungkol dito, at kung ano ang susunod na update. Sa kabilang banda, dapat ay mas mag ingat tayo, lalo na kung meron tayong mga kababayan na gumagamit nito.