Falla Coldcard: rubati oltre 1.000 Bitcoin, sicurezza wallet crypto a rischio

Una notizia importante fa rumore nell’ecosistema blockchain. Nessun portafoglio digitale, per quanto sofisticato, è davvero invulnerabile. Lo ha detto senza mezzi termini Changpeng Zhao, fondatore di Binance, dopo che una falla scoperta nei dispositivi Coldcard ha permesso il furto di centinaia di Bitcoin senza che nessuno toccasse fisicamente un hardware wallet. “Nothing is 100%“, ha scritto Zhao su X il 1° agosto, invitando gli utenti a distribuire i fondi su più portafogli invece di affidarsi a un solo dispositivo.

La vicenda riporta al centro del dibattito la sicurezza wallet crypto e mette in discussione uno dei capisaldi dell’autocustodia: l’idea che un dispositivo offline sia per definizione al sicuro. Punti chiave Una falla firmware su Coldcard ha generato seed prevedibili, permettendo il furto di BTC senza sottrarre alcun dispositivo fisico. Le stime indicano circa 594 BTC rubati da 500 wallet in 25 minuti, con Galaxy Research che ha fornito una stima alternativa più alta di 1.

Dinamiche di mercato

196 indirizzi in 41 minuti. La vulnerabilità permetteva di ricostruire le chiavi private da remoto, prima ancora che venisse firmata qualsiasi transazione. Coinkite ha rilasciato patch firmware, ma i seed generati con le versioni vulnerabili restano compromessi e vanno sostituiti.

CZ propone la sicurezza multi-wallet come mitigazione, non come soluzione definitiva al problema dell’autocustodia. La falla del seed di Coldcard mette a nudo una grave vulnerabilità Il problema seed Coldcard nasce da un errore di integrazione nel firmware, non da un furto fisico o da un attacco di phishing. Alcuni dispositivi, in determinate condizioni, non generavano più il seed usando il generatore hardware di numeri casuali, ma ricorrevano a un metodo software prevedibile.

Generazione prevedibile del seed causa furti di BTC Il difetto risale a un’impostazione di build che indicava al dispositivo di saltare il proprio generatore di casualità hardware; un controllo in una libreria di supporto verificava solo che l’impostazione esistesse, non che fosse effettivamente attivata. Il risultato era una generazione della chiave basata su dati non segreti, come il numero di serie del chip e i registri dell’orologio interno, entrambi ricostruibili da un attaccante. Questo ha permesso di risalire alle chiavi private da remoto, senza mai entrare in possesso del dispositivo né della frase di recupero: la violazione si è consumata nella fase di creazione del wallet, non durante la conservazione o la firma delle transazioni.

Impatto sui mercati

Scala e tempistica dell’incidente di furto Bitcoin Le stime iniziali indicavano circa 594 BTC sottratti da circa 500 wallet in una finestra di 25 minuti. Galaxy Research ha fornito una stima alternativa più elevata di 1. 082,65 BTC distribuiti su 1.

196 indirizzi in un arco di 41 minuti. La rapidità e l’estensione dell’attacco dimostrano che una falla nella generazione delle chiavi può colpire simultaneamente centinaia di portafogli dormienti, anche quelli rimasti inattivi per anni, trasformando un bug tecnico in una perdita economica di massa in pochi minuti. La risposta di Coldcard e le azioni richieste agli utenti Coinkite, l’azienda dietro Coldcard, ha rilasciato patch firmware correttive, ma il danno pregresso resta: i seed già generati con le versioni difettose non possono essere “riparati” da un aggiornamento software.

Patch firmware e i loro limiti L’azienda ha avvisato che i seed prodotti su firmware Mk3 (dalla versione 4. 1 in avanti) e su alcune versioni meno recenti di Mk4, Mk5 e Q potrebbero essere vulnerabili. Anche dopo l’aggiornamento, le chiavi generate in precedenza restano potenzialmente esposte, perché il problema riguarda l’origine del seed e non il comportamento del dispositivo dopo la patch.

Questo cambiamento continua a plasmare il panorama delle attività digitali.