La notizia in sintesi
- Coldcard coinvolta in furti di Bitcoin legati a una falla firmware del 2021.
- Le seed phrase vulnerabili potevano essere ricostruite senza accesso fisico ai dispositivi.
- Le analisi on-chain indicano migrazioni verso nuovi wallet e servizi di custodia.
- Aggiornare il firmware non protegge le seed già generate sui dispositivi interessati.
(Riassunto generato con AI)
Falla Coldcard, allarme sulla custodia Bitcoin
Coldcard, produttore canadese di hardware wallet, è al centro di un furto che ha colpito circa 7.300 indirizzi Bitcoin attraverso una vulnerabilità firmware introdotta nel marzo 2021 e rimasta inosservata per anni. Le analisi di Galaxy Research hanno confermato almeno tre ondate di attacchi, per 1.596 BTC sottratti, mentre una quarta ondata resta oggetto di verifiche basate su segnalazioni delle vittime e dati on-chain.
Il problema non ha riguardato il protocollo Bitcoin né il furto fisico dei dispositivi: gli aggressori avrebbero ricostruito offline le seed phrase generate con casualità insufficiente. Il caso ha spinto utenti e operatori a trasferire fondi verso nuovi wallet, perché la sicurezza di una chiave già compromessa non può essere ripristinata con un semplice aggiornamento software.
Secondo le ricostruzioni disponibili, l’episodio evidenzia un rischio strutturale della self-custody: la protezione dell’hardware dipende anche dalla qualità verificabile del processo con cui viene creata la seed phrase.
Come il bug ha reso prevedibili le seed
La falla derivava da un errore nel codice che, durante la creazione della seed, impiegava un generatore pseudo-casuale software prevedibile al posto della fonte hardware prevista dal dispositivo. Il team Bitcoin engineering e security di Block ha confermato il difetto, mentre Coinkite ha distribuito firmware corretto e invitato gli utenti interessati a migrare verso nuovi wallet.
Per alcuni modelli più vecchi, la forza effettiva delle seed sarebbe scesa da 128 a circa 40 bit: uno spazio di ricerca molto più ristretto, potenzialmente esplorabile mediante strumenti di ricostruzione delle chiavi. Gli attaccanti potevano confrontare gli indirizzi derivati dalle seed candidate con quelli pubblici della blockchain e trasferire gli asset senza PIN, connessione al dispositivo o interazione con la vittima.
https://x.com/cryptodotnews/status/2083357545108746288?ref_src=twsrc%5Etfw
Le fonti convergono sul fatto che almeno 15 attori distinti potrebbero avere sfruttato la stessa vulnerabilità, senza che sia possibile attribuire tutte le campagne a un unico gruppo. Circa il 90% dei Bitcoin sottratti risulterebbe ancora fermo, lasciando a exchange e forze dell’ordine una finestra operativa per monitorare eventuali tentativi di riciclaggio.
Movimenti on-chain e conseguenze per gli utenti
I dati di Glassnode segnalano che circa 210.000 BTC sono usciti dai wallet dei detentori di lungo periodo nell’ultima settimana. Il movimento, avvenuto con Bitcoin distante dai precedenti massimi, viene letto soprattutto come trasferimento precauzionale di custodia e non come ordinaria vendita sul mercato.
Haseeb Qureshi di Dragonfly ha evidenziato come strumenti di intelligenza artificiale possano accelerare l’individuazione di difetti simili. La conseguenza immediata per chi possiede una seed generata su dispositivi vulnerabili è chiara: creare una nuova seed su hardware sicuro e spostare integralmente i fondi residui.
FAQ
Qual è la vulnerabilità di Coldcard?
Sì, riguarda la generazione delle seed phrase: un generatore software prevedibile è stato usato al posto della fonte hardware prevista.
Quanti Bitcoin sono stati rubati?
Sì, le tre ondate confermate hanno sottratto 1.596 BTC da circa 7.300 indirizzi, secondo l’analisi di Galaxy Research.
Basta aggiornare il firmware Coldcard?
No, l’aggiornamento corregge il software futuro ma non rende sicura una seed già generata con entropia insufficiente.
Cosa devono fare gli utenti coinvolti?
Sì, devono generare una nuova seed phrase su hardware sicuro e trasferire subito tutti gli asset dal vecchio wallet.
Come è stata verificata questa notizia?
Sì, nasce da analisi approfondita e verifica incrociata della nostra Redazione su più fonti: CoinDesk, The Cryptonomist, crypto.news.
