More than 1128.47 BTC were stolen from Coldcard Physical Hardware Storage

[BALIK]

Click dito para makita ang live update.

Mga kaibigan,

May nakita ako ngayong araw na talagang nag alala sa akin, kaya naisip kong magbigay ng mabilis na warning sa ating mga kapatid dito sa local forum. Para sa mga gumagamit ng Coldcard hardware wallet para sa Bitcoin storage, mukhang medyo risky ang situation sa ngayon.

Nagbigay ng impormasyon ang Coldcard:

• Mahigit 1128.4717 BTC na ang na-drain sa ngayon.
• Kung nag-generate ka ng iyong seed gamit ang version 4.0.1 at mas bago sa Mk3, ang yong fund ay nasa malaking risk.
• Sinabi rin nila na ang Mk4, Q, at Mk5 ay hindi apektado.

Pero masasabi ko na mas mabuting iwasan muna ang paggamit ng buong Coldcard storage. Para sa akin, mukhang vulnerable ang lahat ng kanilang device.

Mga kapatid, ang security ang pinakamahalagang bagay sa crypto. Isang bagay na lagi kong sinusunod ay hindi ko kailanman inistore ang lahat ng aking Bitcoins sa iisang wallet.

Hindi ko sinasabi na gumawa lang kayo ng separate accounts sa loob ng isang wallet. Kung gusto ninyong maging safe, dapat gumamit kayo ng magkakaibang trusted wallet brands.

Kung gumagamit ka ng Electrum, siguraduhin na mag-set ka ng isang malakas na passphrase kapag gumagawa ng bagong wallet.
Sa ganitong paraan, hindi ito madaling ma-crack gamit ang brute-force attack.
Sa parehong paraan, hatiin din ang iyong fund at itago ang mga ito sa iba pang magaganda at trusted wallet brands.
Ito ang mas ligtas na paraan.


Vendor advisory post:
https://blog.coinkite.com/coldcard-mk3-seed-generation-warning
Technical deep dive:
https://blog.coinkite.com/entropy-technical-backgrounder
Basahin ang reaction ng community:
https://bitcointalk.org/index.php?topic=5589927

[cryptoaddictchie]

Yes with the news pinned on forum this is actually a good update. Thanks for sharing the actual details kabayan. Sana ay walang naapektuhan na kababayan natin. Keep safe everyone!

https://x.com/Rob1Ham/status/2082896614218203616

[EDIT]

Vendor advisory post:
https://blog.coinkite.com/coldcard-mk3-seed-generation-warning/

Technical deep dive:
https://blog.coinkite.com/entropy-technical-backgrounder/


From Reddit:

Hoax__

It doesn't appear to be an isolated theft. The receiving address 'bc1qnk4zh9qcnap2mycp56qjrgza3cc8ylrh8fecp0' has received about 594 BTC (approx $37.8M) from 500 different addresses in a 15 min window (between 01:31-01:56 UTC 30/07/26). Many of the other sending addresses have been dormant for years, similar to your address. All the affected addresses contained more that 0.15 BTC at the time of the transactions.

The only way to issue a sending transaction is to have the associated private key/seed phrase. For the volume of address suspected to be compromised there could be two potential attack vectors. Either be a supply chain attack, when the hardware device purchased was compromised. Or it could be a cryptographic flaw within the hardware device where the device generates users seed phrases in such a way that an attacker could predict them, similar to the Ill Bloom vulnerability from earlier in the month.

Theft address has consolidated most of the funds in bc1qq85v2c926eg6pgxhwp6q7lf6cnsz80qs3fcu9r.

Btw OP mayroon wrong spelling sa title:


Re: More than 1128.47 BTC were stolen from Coldcard Phisical Hardware Storage
^{Kindly edit na lang. Thanks}

[blockman]

Kita ko nga din sa news title ng forum. Nagbabasa basa lang ako at bigla din akong natakot sa mga nakikita ko dahil isa yan sa pinakatrusted at madaming may may-ari ng coldcard. May mga nagsasabi pa na ito na daw yung quantum computing na decrypt ng mga wallets natin. Hindi ko lang sure kung may mga kababayan tayo na owner baka si mk4 doon galing din yung name niya. Magbasa basa nalang din sa main thread para sa mga iba pang mga update. Nakakalungkot na madami ng nabiktima, sana hindi na masundan at may biglaan lang na magbago isip ng hacker na magbalik ng mga nakuha niya. 

[crwth]

Posted in the other topic, and curious ako kung ano yung official na nangyari. Nagulat ako na may gumawa ng ganyan, and I think AI ang tumulong. May nabasa kasi ako tungkol dun sa X.

Nung nag post ako, nasa 600BTC pa lang pero grabe talaga.

https://bitcointalk.org/index.php?topic=5589927.msg66996486#msg66996486

Minsan, kaya gusto ko din yung multi seed and I hope yung mga meron nyan ay makapag cashout and lipat na sa tamang wallet.

[coinrifft]

Nabasa ko 3 hours ago bago pa magka pin message. Iba talaga na ngayon, biruin nyo mismong hardware wallet ang tinira nitong mga scammers or hackers na to. Malupitan ang atake nila dahil maging sophisticated tong attack na to.

At palagay mo malalim ang mga aral ng tumira na to at hindi basta basta. Ang tanong nga lang eh paano hindi ito nakita ng Coldcard for many years? Sila talaga ang nagkulang dito. Na hindi sila nag series ng test kung may vulnerability ang hardware wallet nila.

[SFR10]

• Sinabi rin nila na ang Mk4, Q, at Mk5 ay hindi apektado.

Vulnerable din ang mga ito kabayan, pero less severe lang.

Ang tanong nga lang eh paano hindi ito nakita ng Coldcard for many years? Sila talaga ang nagkulang dito. Na hindi sila nag series ng test kung may vulnerability ang hardware wallet nila.

Naging greedy kasi si NVK nung nalaman niya na ang passport HW was made based on firmware nila "at that time ^{[GPL license (open-source)]}", kaya binago nila ang license into MIT+CC ^{[source-available, pero hindi pwedeng gamitin sa ibang products]} at dito nagsimula ang lahat dahil a few developers na lang ang nagche-check ng code nila.

[abel1337]

• Sinabi rin nila na ang Mk4, Q, at Mk5 ay hindi apektado.

Vulnerable din ang mga ito kabayan, pero less severe lang.

Ang tanong nga lang eh paano hindi ito nakita ng Coldcard for many years? Sila talaga ang nagkulang dito. Na hindi sila nag series ng test kung may vulnerability ang hardware wallet nila.

Naging greedy kasi si NVK nung nalaman niya na ang passport HW was made based on firmware nila "at that time ^{[GPL license (open-source)]}", kaya binago nila ang license into MIT+CC ^{[source-available, pero hindi pwedeng gamitin sa ibang products]} at dito nagsimula ang lahat dahil a few developers na lang ang nagche-check ng code nila.

Hindi ba nila pina audit yung code nila given na hardware wallet company sila at ang main product nila ay nag fofocus sa security? It's kinda iresponsible na ma break yung product wallet nila dahil sa bad management at decision nila. Wala akong coldcard mk3 or anything from them kaya safe padin yung bitcoin ko.

I would panic if magka vulnerabilities din ang ledger 

Though eye opener to sigurado sa mga hardware wallet companies na wag silang maging kampante sa codes nila at each updates ay dapat audited. For sure yung coinkite sales after this would be at their all time low at possible din sila ma bankrupt dahil dito.

[SFR10]

Hindi ba nila pina audit yung code nila given na hardware wallet company sila at ang main product nila ay nag fofocus sa security?
[...]
at each updates ay dapat audited.

Hindi ako sigurado kung pina-audit nila yung code nila dati sa isang independent security firm o hindi, pero AFAIK it usually takes a lot of time and money para sa mga ganitong bagay, so by the time na na-audit ang lumang firmware, baka may bagong vulnerability sa latest firmware nila ^{[kahit hindi pa rin ibig sabihin na 100% safe (e.g., failure to spot a vulnerability by security firms), agree ako na dapat madalas nilang gawin ito]}.

• I would panic if magka vulnerabilities din ang ledger 
  

  If I were you kabayan, I'd switch to another HW brand bago mangyari yan ^{[bukod pa dun, kahit optional ang Ledger Recover, malaki ang chance na may access parin sila at pag na-hack ang database nila, maaring mawala ang assets mo]}.
  

[PX-Z]

Is there announcement or news on how coldcard will be liable on such incident, will they refund to those proven user of coldcard? Because this is not just a normal phishing like incident kung saan ang user ang may sole responsibility sa action niya, and not this one, lalo na sa mga long time holders since ma introduce at gumamit ng coldcard HW years ago.

[BALIK]

May mga nagsasabi pa na ito na daw yung quantum computing na decrypt ng mga wallets natin.

pero wala pang anumang ebidensya na nagpapatunay nito.

Batay sa impormasyong lumabas, ang problema ay isang implementation bug na may kaugnayan sa entropy o RNG ng seed generation. Wala itong kinalaman sa pagbasag sa cryptography ng Bitcoin.

Nagulat ako na may gumawa ng ganyan, and I think AI ang tumulong. May nabasa kasi ako tungkol dun sa X.

Nung nag post ako, nasa 600BTC pa lang pero grabe talaga.
https://bitcointalk.org/index.php?topic=5589927.msg66996486#msg66996486

Minsan, kaya gusto ko din yung multi seed and I hope yung mga meron nyan ay makapag cashout and lipat na sa tamang wallet.

Akala ko rin sa simula na baka naging mas madali ang attack dahil sa AI.

Pero sa tingin ko, wala talagang role ang AI dito. Kahit wala ang AI, kaya pa rin ng mga hackers na magsagawa ng Brute-force attack dahil hindi sapat ang randomness na ginamit dito.

Tama ka, ang paggamit ng multisig ay marahil ang pinakamagandang paraan para manatiling ligtas ngayon.

[robelneo]

May mga nagsasabi pa na ito na daw yung quantum computing na decrypt ng mga wallets natin.

pero wala pang anumang ebidensya na nagpapatunay nito.

Base sa article na nabasa ko ang bug ay dati ng nandoon sa simula pa lamang at ngayon lang na exploit biruin mo 25 minutes para masimot yung $38 million worth of Bitcoin.

Every drained wallet was single-signature and each held more than 0.15 BTC. Many had been dormant for years and the coins spanned 2021 to 2026, matching the flaw's age almost exactly.
Exposure depends on the firmware the device was running at the moment the wallet was first created, not on when the hardware was bought.

https://www.coindesk.com/tech/2026/07/31/major-bitcoin-wallet-flaw-drains-594-btc-in-25-minute-sweep

Dapat ng tingnan uli ng mga manufacturer ng hardwarewallets kung may mga flaws ang kanilang mga ginawang wallets at malaking kasiraan ito sa reputasyon ng colcard, kaya nga tayo bumibili ng hardware wallet para sa maximum security ng mga coins natin pero ganito pa mangyayari.

[coin-investor]

Sa totoo lang pag ka hardware ang na hack ay maituturing na malaking issue, kasi itinuturing itong non custodial wallet kung saan ang trust ng gumagamit ay 100%, sa maraming post natin sa mga naghahanap ng pinaka ecure na wallet ang palagi nating nababanggit ay hardware wallet, pero paano kung nangyayari ito sa pinaniniwalaan nating pinaka secure na storage ng wallet natin.
Kaya dapat basahin din natin ang mga latest reviews sa mga hardware wallets lalo na ngayong sobrang daming AI naglipana na karamihan ay ginagamit sa hacking at social engineering.

[PX-Z]

Sa totoo lang pag ka hardware ang na hack ay maituturing na malaking issue, kasi itinuturing itong non custodial wallet kung saan ang trust ng gumagamit ay 100%, sa maraming post natin sa mga naghahanap ng pinaka ecure na wallet ang palagi nating nababanggit ay hardware wallet, pero paano kung nangyayari ito sa pinaniniwalaan nating pinaka secure na storage ng wallet natin.
Kaya dapat basahin din natin ang mga latest reviews sa mga hardware wallets lalo na ngayong sobrang daming AI naglipana na karamihan ay ginagamit sa hacking at social engineering.

The expectations kase ng nakararami ay secure ang Hardware wallet which is usually true, the issue is how their method of seed generation is too weak compare sa ibang HW or sa standard. Regardless the reviews the one with good track record, years in service already with good reputation and regular code audit reviews ang dapat tignan before buying HW

[julerz12]

Grabe 'to. Madalas ko pa namang nakikita na nagpapa-give-away sila sa X ng mga bagong Coldcard.  
I guess sa mga nanalo on those giveaways, safe ang funds nila since mga old unit 'lang naman affected 'di ba? I doubt they'll send out older units sa previous giveaway nila. cmiiw

What's sadder is karamihan sa mga affected users, 'yung mga ilang taon nang nag-DCA para lang makaipon ng BTC. Most of them 8 to 10 years pinag-ipunan.  
https://www.reddit.com/r/Bitcoin/s/hCJV8D7EoE
https://www.reddit.com/r/Bitcoin/s/GW25bMllGx
https://www.reddit.com/r/Bitcoin/s/X1E8Aur6o3
https://www.reddit.com/r/Bitcoin/s/GaYEBYVTJR

Ang tanong ngayon, will this company compensate the users' losses? Malaki-laking halaga din ’yan.