COLDCARD, een producent van Bitcoin hardware wallets, zag zijn officiële X-account op 11 oktober 2026 worden gecompromitteerd, waarna het gekaapte profiel werd gebruikt om een valse securitywaarschuwing te publiceren. Omdat het bericht van het bedrijf zelf leek te komen, ontstond direct onrust onder Bitcoin-houders. Het bericht hergebruikte bovendien voldoende echte details uit een eerdere incident om op het eerste gezicht geloofwaardig over te komen. Volgens de frauduleuze waarschuwing zaten er kwetsbaarheden in de firmware van de Mk4-, Mk5- en Q-apparaten, en werd gebruikers verteld hun geld via een nepwebsite op te nemen.

Coldcard verwijderde het bericht en riep gebruikers op de link niet te bezoeken of ermee te interacteren; het bedrijf bevestigde dat het om phishing ging. Het bedrijf meldde tevens dat zijn enige officiële website is.

In een bericht op X van 11 oktober 2026 verklaarde COLDCARD:

We are investigating how a post containing a phishing link was published from this account. It has since been deleted. Do not visit or interact with that link. COLDCARD's only official website is . This account has used offline 2FA with tightly restricted… pic.twitter.com/bLwwUb1CVu

— COLDCARD (@COLDCARDwallet) October 11, 2026

Bron: COLDCARD on X

Het incident zorgde opnieuw voor onrust omdat de daders kennelijk inspeelden op de herinnering aan de walletsecuritycrisis van Coldcard, toen een foutieve walletgeneratie verliezen van $100 miljoen tot $130 miljoen veroorzaakte. Ondanks de inbreak meldde Coldcard geen enkele aanwijzing dat er toegang tot de interne systemen was geweest, en het onderzoekt hoe de aanvallers de controle over zijn X-account hebben verkregen.

Wat is er gebeurd bij de COLDCARD-hack?

De aanval draaide om de verspreiding van een valse securitywaarschuwing die via de X-pagina van het bedrijf werd gepubliceerd. Volgens het bericht van de aanvallers bevatte de firmware van verschillende Coldcard hardware wallets — waaronder de Mk4-, Mk5- en Q-modellen — een kwetsbaarheid die klanten in gevaar bracht. Gebruikers werd geadviseerd een externe website te bezoeken om hun crypto-activa te beveiligen. De waarschuwing was echter nep en was bedoeld om een phishingcampagne uit te voeren.

Coldcard verklaarde te onderzoeken hoe het bericht vanaf zijn account was gepubliceerd. Het bedrijf nam ook contact op met de support van X en verzocht om onderzoek naar de kwaadaardige activiteiten op het platform. Het voorval laat zien aanvallers het socialmedia-account van een legitiem bedrijf kunnen misbruiken om een oplichtingstruc geloofwaardig te maken, en het onderstreept het extra gevaar van een dergelijke gekaapte account, omdat gebruikers instructies van de maker van hun hardware wallet doorgaans serieusser nemen. Een valse waarschuwing onder de eigen naam van een fabrikant is moeilijker af te doen dan een gewone oplichtings boodschap, omdat deze binnenkomt via het kanaal waarop gebruikers vertrouwen.

COLDCARD-hack speelt in op walletcrisis van juli

De aanval lijkt te hebben geprofiteerd van een urgent probleem waar Coldcard-gebruikers in juli 2026 mee te maken kregen, toen een softwarefout leidde tot de generatie van wallets met slechte willekeur, waardoor privésleutels eenvoudig via offline aanvallen te kraken waren. De geschatte verliezen van dat incident bedroegen ongeveer 1.600 tot 1.800 BTC, met een waarde van circa $100 miljoen tot $130 miljoen. In tegenstelling tot een conventioneel phishingschema vroegen die dieven de slachtoffers niet om hun herstelzin.

Het probleem van juli betrof firmwareversie 4.2.0 voor de Mk3, 5.6.0 voor de Mk4/Mk5 en 1.5.0Q voor de Q. Zelfs nadat de getroffen versies waren geïdentificeerd, was voor kwetsbare wallets nog steeds een nieuwe seed phrase en een overboeking van fondsen naar nieuw aangemaakte wallets nodig.

Bij het incident van oktober hergebruikte het oplichtingsbericht informatie uit de Julifase, waaronder apparaattypen en firmwareversies, om de valse waarschuwing geloofwaardig te laten lijken en slachtoffers tot snelle actie aan te zetten.

Coldcard meldt geen interne inbreuk

Ondanks de hack van zijn officiële X-account ontkende Coldcard elke aanwijzing dat de interne systemen waren gecompromitteerd. Het bedrijf zei dat de beoordeling van de logs geen ongeautoriseerde toegang aantoonde en dat zijn inloggegevens en offline tweefactorauthenticatie — de beveiligingsmethode die het sinds 2017 gebruikt — intact zijn.

Coldcard heeft contact opgenomen met de support van X om de situatie verder te onderzoeken en heeft de mogelijkheid geopperd van ongeautoriseerde toegang via het platform of het beheer ervan, al is de exacte werkwijze van de aanval nog onbekend. Het bedrijf verwees ook naar berichten dat interne tools van X geruchtmatig op darknetmarkten te koop zouden worden aangeboden, maar een verband met deze aanval is niet bewezen.

De COLDCARD-hack bevestigt geen inbreuk op de hardware wallets van het bedrijf of op klantgeld. Bij hardware wallets rust de controle over de fondsen bij het apparaat en de herstelzin van de gebruiker en niet bij de socialmedia-activiteiten van de fabrikant, wat verklaart waarom een gecompromitteerde account niet automatisch tot gecompromitteerde wallets leidt. De belangrijkste open vraag is hoe de aanvallers de controle over de account hebben verkregen; ontwikkelingen in het onderzoek van Coldcard en de vragen bij de support van X zijn de updates om in de gaten te houden.

Wie loopt risico door de COLDCARD-hack?

De hack vormt vooral een risico voor personen die op de phishinglink hebben geklikt en hun walletgegevens hebben ingevoerd. Iedereen die de 24-woorden herstelzin van een gebruiker verkrijgt, kan mogelijk toeg tot de wallet krijgen en het saldo legen. Gebruikers die niet op de link hebben geklikt en hun herstelzin aan niemand hebben verstrekt, zijn niet geïdentificeerd als mogelijke slachtoffers van de hackpoging.

Coldcard-gebruikers moeten zorgvuldig controleren of een bericht authentiek is en mogen hun herstelzin nooit op enige website invoeren.

Microsoft-accounthack onderstreept risico's van crypto-oplichting

Het socialmedia-profiel van Coldcard is niet het enige grote merkaccount dat is misbruikt om misleidende crypto-informatie te publiceren. Ook het X-profiel van Microsoft zou zijn gebruikt om een crypto-oplichting te promoten — een herinnering dat zelfs de grootste technologiebedrijven niet immuun zijn voor accountkaping. Dergelijke gevallen laten zien hoe aanvallers misbruik maken van de goede naam van populaire merken om misleidende berichten te verspreiden.

Transacties met cryptocurrencies kunnen niet ongedaan worden gemaakt, wat betekent dat elke geslaagde phishingpoging direct tot verliezen leidt. De COLDCARD-hack laat zien hoe tegenstanders echte securityincidenten gebruiken om slachtoffers tot actie te bewegen zonder de bron te verifiëren. Crypto-houders moeten elke waarschuwing via de juiste kanalen verifiëren en hun herstelzin beschermen. In afwachting van de uitkomsten van de onderzoeken wordt ervan uitgegaan dat het incident beperkt blijft tot de compromittering van een socialmedia-account.