Isang Canadian na negosyante ang nawalan ng mahigit $1.6 milyon na Bitcoin (BTC) mula sa Coldcard hardware wallet niya — at nangyari lang ‘to sa loob ng less than seven minutes. Parte raw ‘to ng mas malawak na incident kung saan aabot sa 1,367.05 BTC ang nalimas.
Pinapakita ng incident na ‘to ang isang harsh na realidad para sa mga nagpapractice ng self-custody: kahit gawin mo lahat ng tama, minsan hindi pa rin sapat.
Paano Nawalan ng 18 BTC ang Isang User sa Ilalim ng Pitong Minuto
Kapag sinabi mong cold storage, ibig sabihin nito nilalagay mo ang private keys mo sa isang device na never nakakonek sa internet para iwas-hack. Seryosong sinunod ni Jonathan Goodman ang principle na ‘yon — nilagay pa niya yung Coldcard niya sa safety deposit box sa bangko.
Nasa ilang wallet ang 18.25 BTC niya, lahat naka-seguro at naka-imbak sa pamamagitan ng maraming safe. Hindi niya shinare kahit kanino ang seed phrase at never niyang nilantad online ang mga device.
Kahit ganoon, nawalan pa rin siya noong July 29, 2026. Mula 9:36 pm hanggang 9:43 pm ng gabi na ‘yon, naubos lahat ng laman ng bawat wallet niya.
Follow niyo kami sa X para lagi kang updated sa pinakamainit na balita.
Doon lang niya narinig na may mas malawak pang problem habang nasa cottage siya.
Akala niya hindi siya tatamaan, pero nung chineck niya sa Wasabi wallet software yung balance, puro red na withdrawal transaction ang nakita niya.
Galing pa raw noong 2021 ang butas na ‘to. May flaw sa code na gumagawa ng seed phrase na nagbukas ng risk sa ibang device at mga attacker — na gamit pa ang artificial intelligence — ginamit para i-brute force ang mga seed na delikado.
Nag-file si Goodman ng report sa pulis at sa Ontario Securities Commission. Sobrang liit ng chance na may mabawi siya, pero ang pinakamasakit daw ay ginawa na niya lahat ng tama.
Hindi lang pala siya ang biktima. Natukoy ng Galaxy Research na may tatlong wave ng mga atake laban sa mga address na gawa mula sa Coldcard device.
Kasama sa mga attack wave na ‘to ang 4,585 na source address kung saan umabot sa 1,367.05 BTC ang na-drain — na nasa $88.6 milyon ang value nung nire-report ito.
Ano ang Nalaman ng Galaxy Research sa Attack Data?
Sabi ni Galaxy Research head Alex Thorn, tuloy-tuloy pa raw ang mga atake. Pinayuhan niya ang mga may hawak ng pondo sa mga delikadong wallet setup na galaw na agad at ilipat na ang crypto nila.
Yung unang dalawang wave ng attacks, pareho ang transaction patterns at baka iisang grupo ang may gawa, pero wala pang confirm. Yung pangatlong wave naman, iba na ang signature — pwedeng bagong tool o ibang hacker team ang gumamit ng parehong butas.
Yung mga ninakaw na Bitcoin, nananatili pa rin sa mga address ng attacker—hanggang ngayon walang movement. Matagal nang nakatambak ang mga wallet na ‘yon, average ng 3.18 years, kaya parang mga long-term holder (hindi malalaking institution) ang karamihan sa biktima.
Nilinaw ng Galaxy na importante: lahat ng findings nila base lang sa on-chain data, at wala pang 100% proof na may problema talaga sa randomness ng pagbuo ng mga address na ‘yon.
“…matinding dagok ito sa bitcoin self-custody at kailangan nating mag-improve bilang komunidad — sa security, sa education, at sa pagiging realistic sa complexity, expectations, at mga advice na binibigay natin sa mga kaibigan, pamilya, at publiko…,” sabi ni Alex Thorn sa post niya.
Binigyang-diin ni analyst Shanaka Anslem Perera ang irony sa Coldcard manual mismo. Sabi ng manual, pinaka-pinagkakatiwalaan daw nila yung default seed-generation method at “low risk” daw para sa users.
Subscribe ka sa YouTube channel namin para mapanood ang insights ng mga experts at journalists.
Pwede naman daw mag-roll ng dice o gamitan ng dice kasama ng hardware output—sabi ng manual, mas safe ‘yon kaysa sa default. Pero karamihan nga kasi sumunod lang sa default setting — at ‘yun nga yung paraan na ngayon, tingin ng Galaxy Research, dahilan ng losses.
Mas malalim pa yung issue: gusto ng mga tao ng reproducibility para macheck ang firmware, pero risk din ‘to pagdating sa secret generation — kasi parehong tumutunog na valid ang weak at strong seeds kung 24-word phrase lang ang ibabasehan.
Kahit laban sa prinsipyo ng “Don’t Trust, Verify” ng hardware wallets, pwedeng may flaws pa rin sa randomness (o entropy) kahit hindi mo napapansin. Kung sa tingin mo apektado ka, mas maganda i-check na agad ang setup mo at i-migrate na ang assets mo kung kailangan.
