xmr.club
EN 中文 ES RU
★ FRONT-PAGEASageSwap— Anonymous swap — no KYC, no AML hold, no IP logging, declines law-enforcement requests.→
/wallets · verificado 2026-09-16

Coldcard

D

Hardware wallet BTC-only de Coinkite. PSBT-via-SD, totalmente air-gapped.

Mantenedor: Coinkite / NVK

⚠ INCIDENT

Cronología del incidente

  1. 2026-07-30 First sweep — ~594 BTC (~$38M) drained from ~500 Coldcard-secured wallets into a single consolidation address within ~25 minutes.
  2. 2026-08-03 Further waves over four days; Galaxy Research tally reaches ~1,816 BTC (~$116M) across 5,200+ addresses.
  3. 2026-08-04 Coinkite publishes a security advisory, halts Coldcard shipments, destroys affected-firmware inventory, and directly contacts shipped-order customers. Root cause: a March-2021 firmware integration error (software PRNG instead of the STM32 hardware RNG).
  4. 2026-09-16 xmr.club downgrades Coldcard A → D and posts this incident; prior grade rested on verification that predated the exploit (last checked 2026-05-13).
  5. 2026-09-25auto On 21 Sep 2026 Galaxy Research and Alex Thorn reported that white-hat operators consolidated Coldcard-exploit coins into a Crypto Recovery Trust address in block 967948, with an OP_RETURN pointing victims to cryptorecoverytrust.com. Thorn put the traced amount at 52.37 BTC, about 2.8% of tracked losses and roughly 4…
KYC ligero hardwareBTC-ONLYPSBT no-custodialcódigo abiertomultisig supportedauditado
Visitar Coldcard → ⚠ Reportar Espejo Markdown Compartir ↗

Visión general

Grado
D ()
Postura KYC
KYC ligero
Tarifas
$120 hardware · Bitcoin-only · PSBT-via-SD
Última verificación
2026-09-16
Operando desde
2017 · 9y — Coinkite (parent) founded 2012; Coldcard hardware wallet product launched ~2017-2018. Domain WHOIS 2003 is premium-domain.
Incidente
⚠ Activo desde 2026-07-30 — /incidents
D ¿Por qué grado D?

Listed for completeness or as a warning. Either KYC posture is questionable at scale, the provider has known unresolved issues, or the listing exists to anchor a comparison.

Rubric completo + recorrido de verificación de 7 pasos en /methodology.

veredicto editorial · conclusión

Veredicto del Curador y Análisis OpSec

CONCLUSIÓN

Coldcard presenta serias dudas de seguridad o incidentes previos. No se recomienda para flujos de privacidad críticos.

✓

Puntos Fuertes

  • ▸ Arquitectura no custodial: el usuario mantiene el control total de sus claves privadas.
  • ▸ Código abierto: repositorios públicos que permiten auditoría y verificación comunitaria.
  • ▸ Trayectoria consolidada: prestando servicio continuo desde 2017 (9 años).
⚠

Advertencias y Riesgos OpSec

  • ▸ INCIDENTE ACTIVO (2026-07-30): A March-2021 Coldcard firmware bug routed seed generation to a software pseudo-random number generator instead of the STM32 hardware RNG, weakening entropy on affected devices to as little as 40 bits (from 128). An attacker who reconstructed the formula derived private keys remotely — no physical access needed — sweeping ~594 BTC (~$38M) from ~500 wallets in the first 25 minutes, growing to ~1,816 BTC (~$116M) across 5,200+ addresses over four days (Galaxy Research tally). It is the largest hardware-wallet exploit of 2026.
  • ▸ Riesgo de KYC por alerta: las órdenes pueden ser retenidas para verificación si saltan los filtros automáticos.
  • ▸ Solo superficie clearnet: no ofrece espejo .onion oficial; expone la IP del usuario salvo uso de VPN/Tor.

Reseña

Hardware wallet exclusivo Bitcoin que firma PSBTs por tarjeta SD — nunca se enchufa a una máquina conectada a la red. Firmware open-source, chip seguro Microchip ATECC608A. El Mk4 es el modelo actual; soporta BIP39/BIP85, taproot, multisig. Suele emparejarse con Sparrow/Specter para multisig multi-vendor. Precio ~$120.

Tarifas

$120 hardware · Bitcoin-only · PSBT-via-SD

Enlaces

Tomado de las páginas del operador — verifique por más de un canal antes de confiar en instrucciones urgentes.

Rastro de auditoría — recibos del reclamo editorial

  • ● UPSTREAM Activo · HTTP 200 · 882ms · comprobado 3h ago
  • ○ ONION Sin .onion espejo
  • ✎ MANUAL Última verificación manual 2026-09-16 (<30d)
  • ⌕ LOG Ver log del curador para Coldcard

Reseñas — moderado · reglas

Aún no hay reseñas. Sé el primero.

Añadir reseña

Feedback honesto y neutral bienvenido. El curador aprueba antes de mostrarse. Sin JS.

Requerido: cuerpo de reseña. Reseñas honestas y descriptivas se aprueban en un día. Copy de marketing, insultos y diatribas se rechazan. Tope diario de 5 envíos por IP.