The vulnerability
The bug lies in how Coldcard generates random numbers for private keys. A weak entropy source made it possible for attackers to brute-force the keys, effectively guessing them. The exploit didn't require physical access to the device in every case — remote attackers could scan the blockchain for vulnerable addresses and sweep the funds.
" Greek: "Η ευπάθεια
Το σφάλμα έγκειται στον τρόπο με τον οποίο το Coldcard δημιουργεί τυχαίους αριθμούς για ιδιωτικά κλειδιά. Μια αδύναμη πηγή εντροπίας επέτρεψε στους επιτιθέμενους να κάνουν βίαιη επίθεση στα κλειδιά, ουσιαστικά να τα μαντέψουν. Η εκμετάλλευση δεν απαιτούσε φυσική πρόσβαση στη συσκευή σε κάθε περίπτωση — οι απομακρυσμένοι επιτιθέμενοι μπορούσαν να σαρώσουν το blockchain για ευάλωτες διευθύνσεις και να συλλέξουν τα κεφάλαια.
" We need to be careful with "sweep" - "συλλέξουν" or "αποσύρουν". We'll use "αποσύρουν" maybe. Next: "594 BTC drained
On-chain data shows 594 BTC moved from multiple addresses linked to Coldcard users. At current prices that's about $38 million. The theft appears to have happened over several days, with the hackers methodically targeting wallets that used the compromised entropy. It's one of the larger hardware-wallet-related heists in recent memory.
" Greek: "Αποστραγγίστηκαν 594 BTC
Τα δεδομένα on-chain δείχνουν ότι 594 BTC μετακινήθηκαν από πολλαπλές διευθύνσεις που συνδέονται με χρήστες του Coldcard. Στις τρέχουσες τιμές, αυτό είναι περίπου 38 εκατομμύρια δολάρια. Η κλοπή φαίνεται να συνέβη σε διάστημα αρκετών ημερών, με τους χάκερ να στοχεύουν μεθοδικά πορτοφόλια που χρησιμοποιούσαν την παραβιασμένη εντροπία. Είναι μία από τις μεγαλύτερες ληστείες που σχετίζονται με πορτοφόλια υλικού στη πρόσφατη μνήμη.
" "on-chain" we can keep as is or translate to "στο blockchain". We'll keep "on-chain" as it's common. Next: "Peter Todd's warning
Todd, a longtime Bitcoin core developer, didn't mince words. He said that after this bug, relying on a single signature from any hardware wallet is too risky. He didn't name Coldcard specifically in every tweet, but the context was clear. The warning lands hard because single-sig wallets are the default for most Bitcoin users — one key, one point of failure.
" Greek: "Η προειδοποίηση του Peter Todd
Ο Todd, μακροχρόνιος προγραμματιστής του πυρήνα του Bitcoin, δεν δίστασε να μιλήσει ανοιχτά. Είπε ότι μετά από αυτό το σφάλμα, το να βασίζεσαι σε μία μόνο υπογραφή από οποιοδήποτε πορτοφόλι υλικού είναι πολύ επικίνδυνο. Δεν κατονόμασε συγκεκριμένα το Coldcard σε κάθε tweet, αλλά το πλαίσιο ήταν σαφές. Η προειδοποίηση έχει μεγάλο αντίκτυπο επειδή τα πορτοφόλια single-sig είναι ο κανόνας για τους περισσότερους χρήστες Bitcoin — ένα κλειδί, ένα σημείο αποτυχίας.
" We might translate "single-sig" as "μονής υπογραφής" but we already used that. We'll keep "single-sig" as it's common. Next: "What users should do
Anyone using a Coldcard — or any hardware wallet that relies on a single private key — should consider moving funds to a multisignature setup. Multisig requires multiple keys to authorize a transaction, so a single compromised device doesn't mean lost coins. The timing isn't great: the market is already jittery, and a $38 million theft doesn't help confidence.
Coldcard has not yet released a public statement about the bug or a firmware patch. Users are left waiting for an official fix while the stolen BTC sits in wallets controlled by the hackers. Whether those coins can ever be recovered is an open question.
" Greek: "Τι πρέπει να κάνουν οι χρήστες
Όποιος χρησιμοποιεί Coldcard — ή οποιοδήποτε πορτοφόλι υλικού που βασίζεται σε ένα μόνο ιδιωτικό κλειδί — θα πρέπει να εξετάσει το ενδεχόμενο μεταφοράς των κεφαλαίων σε μια ρύθμιση πολλαπλής υπογραφής.
