Coldcard-hacker verplaatst steeds meer gestolen bitcoin

Bijna helft van bitcoin uit derde aanvalsgolf verplaatst

Galaxy Research volgt de wallets die betrokken zijn bij de Coldcard-hack. Volgens de onderzoekers begon de aanvaller uit de derde aanvalsgolf op 2 september met het verplaatsen van bitcoin.

Een deel van de BTC ging via THORChain naar Ethereum. Inmiddels gebruikt de aanvaller ook CoinJoin-transacties. In totaal heeft de hacker ongeveer 45% van de bitcoin uit deze derde golf verplaatst.

Dat betekent niet dat 45% van alle bitcoin uit de volledige Coldcard-hack in beweging is gekomen. Wanneer Galaxy alle bekende aanvalsgolven bij elkaar optelt, staat ongeveer 82% van de gestolen BTC nog op de oorspronkelijke adressen. Ongeveer 18% is inmiddels verplaatst.

Waarom gebruikt de hacker THORChain?

THORChain maakt het mogelijk om cryptomunten tussen verschillende blockchains te wisselen zonder een traditionele centrale exchange te gebruiken. Een gebruiker kan bijvoorbeeld bitcoin omwisselen voor ether.

Voor blockchainonderzoekers zorgt zo’n overstap naar een andere blockchain voor extra werk. Zij moeten niet alleen bitcointransacties volgen, maar ook achterhalen waar de waarde na de swap terechtkomt.

De Coldcard-aanvaller gebruikt daarnaast CoinJoin. Deze techniek combineert transacties van verschillende gebruikers. Daardoor wordt het lastiger om rechtstreeks te bepalen welke ontvangen bitcoin bij welke verzonden munten hoort.

CoinJoin maakt bitcoin niet onzichtbaar. De transacties blijven openbaar op de blockchain staan, maar het verband tussen verschillende adressen wordt moeilijker te analyseren.

Aanvaller werkt grootste wallets als eerste af

Galaxy ontdekte dat de aanvaller 293 zogenoemde 2-of-2 multisignature vaults gebruikte om de bitcoin van slachtoffers onder te brengen.

Bij een multisignature-wallet zijn meerdere digitale handtekeningen nodig om een transactie goed te keuren. Bij een 2-of-2-wallet zijn beide ingestelde sleutels vereist voordat de bitcoin kan worden verplaatst.

De hacker lijkt daarbij volgens een vast patroon te werken. Eerst komen de wallets met de grootste hoeveelheden bitcoin aan de beurt. Inmiddels zijn de tegoeden uit de 11 grootste vaults verplaatst.

Tijdens het volgen van deze transacties ontdekte Galaxy bovendien een wallet die eerder nog niet aan de Coldcard-hack was gekoppeld. De onderzoekers denken dat deze wallet mogelijk bij een ander slachtoffer hoort. Ze konden alleen niet bevestigen dat hetzelfde beveiligingsprobleem ook achter dit verlies zat.

Grootste deel van de gestolen bitcoin staat nog stil

Ondanks de recente transacties heeft de aanvaller het grootste deel van de totale buit nog niet verplaatst. Volgens Galaxy staat ongeveer 82% van alle gestolen bitcoin uit de verschillende Coldcard-aanvallen nog op de oorspronkelijke adressen.

Dat maakt het voor onderzoekers relatief eenvoudig om deze BTC te blijven volgen. De Bitcoin-blockchain registreert iedere transactie openbaar en permanent.

Het wordt ingewikkelder zodra de aanvaller de munten gaat verspreiden over nieuwe adressen, andere blockchains en CoinJoin-transacties. Galaxy beschouwt de bewegingen van de overige 18% dan ook als een mogelijke poging om de herkomst van de bitcoin te verhullen.

Coldcard-hack behoort tot grootste hacks van 2026

De Coldcard-hack behoort volgens cijfers van DefiLlama tot de grootste crypto-exploits van 2026.

De aanval staat voorlopig op de derde plaats. Alleen de hack van Kelp DAO, waarbij ongeveer $293 miljoen verloren ging, en de aanval op Drift Protocol ter waarde van circa $280 miljoen waren groter.

De recente transacties zijn vooral relevant omdat de aanvaller nu duidelijk actiever wordt. Als meer van de resterende bitcoin in beweging komt, kunnen blockchainonderzoekers mogelijk beter zien welke methodes de hacker gebruikt om de gestolen crypto verder te verspreiden.

Wat kunnen cryptobeleggers hiervan leren?

Een hardware wallet houdt privésleutels buiten een normale online omgeving en kan daarmee verschillende vormen van diefstal voorkomen. Dat betekent alleen niet dat iedere vorm van risico verdwijnt.

De Coldcard-zaak laat zien waarom gebruikers ook aandacht moeten besteden aan firmware, walletsoftware, back-ups en de manier waarop transacties worden ondertekend. Controleer updates via officiële kanalen en kijk altijd goed naar een transactie voordat je deze bevestigt.

Conclusie

De Coldcard-hacker achter de derde aanvalsgolf heeft ongeveer 45% van zijn bitcoinbuit verplaatst via onder meer THORChain en CoinJoin. Toch staat over alle bekende Coldcard-aanvallen samen nog 82% van de gestolen BTC op de oorspronkelijke adressen.

Voor blockchainonderzoekers begint daarmee een belangrijke fase. Hoe meer bitcoin de aanvaller verplaatst, hoe meer informatie er ontstaat over de route die de gestolen cryptomunten afleggen.

Veelgestelde vragen

Wat is de Coldcard-hack?

De Coldcard-hack verwijst naar meerdere aanvalsgolven waarbij bitcoin van Coldcard-gebruikers werd gestolen. De zaak behoort in 2026 tot de grootste bekende crypto-exploits van het jaar.

Hoeveel gestolen bitcoin heeft de hacker verplaatst?

De aanvaller uit de derde aanvalsgolf heeft ongeveer 45% van zijn buit verplaatst. Over alle bekende Coldcard-aanvallen samen is ongeveer 18% van de gestolen bitcoin verplaatst en staat 82% nog op de oorspronkelijke adressen.

Waarom gebruikt de hacker CoinJoin en THORChain?

Met THORChain kan de aanvaller waarde tussen verschillende blockchains verplaatsen. CoinJoin combineert meerdere bitcointransacties, waardoor het moeilijker wordt om de exacte geldstromen te volgen. Beide technieken kunnen blockchainonderzoek daardoor ingewikkelder maken.