Hackeři zneužili pět let starou chybu ve firmwaru hardwarových peněženek Coldcard od kanadské bezpečnostní firmy Coinkite a od 30. července 2026 ve čtyřech vlnách vybrali z více než 5 200 adres bitcoiny v hodnotě přes 116 milionů dolarů.
Zranitelnost pochází z aktualizace firmwaru z března 2021, která omylem přesměrovala generování obnovovací fráze na předvídatelný softwarový generátor náhodných čísel místo vyhrazeného hardwarového čipu zařízení. U některých peněženek tak efektivní entropie klesla až na pouhých 40 bitů oproti 128 bitům potřebným pro skutečnou bezpečnost. Tato mezera umožnila útočníkům zpětně odvodit obnovovací fráze a vyprázdnit peněženky, aniž by se fyzických zařízení vůbec dotkli. Jen první vlna připravila majitele o zhruba 1 083 bitcoinů v hodnotě asi 70 milionů dolarů, a to během pouhých 41 minut.
Generální ředitel Coinkite Rodolfo Novak řekl, že firma je „zdrcená“, a přijal „plnou odpovědnost“ — 31. července vydal nouzový firmware pro všechny postižené modely. Bezpečnostní výzkumníci z Galaxy Research a Block, kteří vzorec útoků jako první odhalili, upozorňují, že případ ukazuje, jak i roky stará softwarová chyba v zařízeních určených k údajně offline „studenému“ uložení může majitele kryptoměn stále ohrozit.