La notizia in sintesi
- Coinkite ha corretto una vulnerabilità nella generazione dei seed di Coldcard.
- L’aggiornamento non protegge i wallet creati con firmware vulnerabili.
- Galaxy Research stima perdite per 1.778 Bitcoin, circa 112 milioni di dollari.
- Per i seed esposti è necessaria una nuova generazione e la migrazione dei fondi.
Riassunto generato da Redazione AI AGENTICA di Datamoney.ch
Coldcard, il fix non salva i seed già creati
Coinkite, produttore dei wallet hardware Coldcard, ha distribuito il 20 agosto nuovi firmware per correggere una vulnerabilità nella generazione delle frasi seed, le sequenze che proteggono le chiavi private dei portafogli crypto. Il problema riguarda soprattutto gli utenti che hanno creato un seed con versioni precedenti del software: l’aggiornamento migliora la sicurezza futura, ma non rende sicuro un wallet già generato con un firmware esposto.
Le versioni 5.6.1 per Coldcard Mk4 e Mk5, e 1.5.1Q per Coldcard Q, introducono un contributo fisico obbligatorio dell’utente alla casualità usata per creare il seed. La misura punta a ridurre la dipendenza dal generatore di numeri casuali interno del dispositivo, indicato come il punto critico dell’incidente.
Le innovazioni piu' interessanti di tecnologia e scienza, dritte nella tua inbox.
Secondo un report di Galaxy Research pubblicato il 14 agosto, l’exploit riconducibile alla falla avrebbe causato la sottrazione di 1.778 Bitcoin, pari a circa 112 milioni di dollari al momento della rilevazione. I dati aggregati da DefiLlama collocano l’episodio al terzo posto tra i maggiori incidenti di sicurezza crypto del 2026.
Come funziona la vulnerabilità e chi deve intervenire
Il nuovo processo di generazione dei seed impone agli utenti di aggiungere entropia fisica: almeno 65 pressioni di tasti effettuate a intervalli imprevedibili, 50 lanci di un dado a sei facce oppure 128 lanci di una moneta. Questo contributo viene combinato con le fonti di casualità interne di Coldcard, comprese quelle hardware e gli elementi sicuri del dispositivo.
La logica della correzione è diretta: anche nell’ipotesi di un guasto o di una manipolazione del generatore casuale interno, un input umano non prevedibile renderebbe più difficile ricostruire la chiave privata usando solo dati elettronici. È disponibile anche la modalità avanzata Dice Rolls Only, che esclude la casualità hardware e richiede 50 lanci di dado per un seed di 12 parole oppure 99 lanci per uno di 24 parole.
Il punto decisivo è che il firmware aggiornato opera soltanto sui seed creati dopo la sua installazione. Un seed precedente rimane potenzialmente compromesso perché la falla avrebbe consentito, in teoria, di ricostruire le chiavi private replicando la sequenza delle pressioni registrata dal dispositivo durante la creazione del wallet.
Coinkite indica quindi una procedura di migrazione: creare una frase seed completamente nuova, verificare backup e impronta del wallet, confermare un indirizzo di ricezione sul dispositivo, effettuare una piccola transazione di prova e soltanto dopo trasferire l’intero saldo dal vecchio seed. Clonare o ripristinare un wallet esistente non risolve il problema, perché riutilizza la stessa chiave privata.
La guida del produttore riguarda i firmware Mk2 e Mk3 dalla versione 4.0.1 alla 4.1.9, le versioni standard Mk4 e Mk5 precedenti alla 5.6.0, le Edge precedenti alla 6.6.0X, i firmware standard Q precedenti alla 1.5.0Q e le Edge Q precedenti alla 6.6.0Q. L’eccezione indicata da Coinkite riguarda chi può dimostrare di aver generato il seed originario tramite 50 lanci di dado privati.
Un’analisi tecnica di Block attribuisce il difetto a un fallback deterministico in MicroPython, attivabile per la gestione di un flag. Lo studio amplia però il perimetro rispetto all’advisory di Coinkite, includendo anche la versione 4.0.0 per Mk2 e Mk3. Per questi utenti, la ricerca indipendente suggerisce prudenza ulteriore.
Le conseguenze per chi conserva fondi su Coldcard
La distanza tra le stime esterne e i dati ufficiali lascia aperto il quadro delle vittime. Coinkite ha riconosciuto perdite severe subite da alcuni clienti e ha riferito di indagini delle forze dell’ordine, senza pubblicare un conteggio verificato né una cifra complessiva ufficiale. Per chi possiede un wallet potenzialmente interessato, l’assenza di un bilancio definitivo non modifica la misura pratica richiesta: generare un nuovo seed e trasferire i fondi.
Il pacchetto firmware interviene anche sulle firme e sulla verifica delle transazioni: include controlli sui byte prima della firma, il blocco predefinito di SIGHASH_SINGLE, limiti ai download USB e validazione della lunghezza dei file firmware. Coinkite precisa però che le verifiche effettuate non equivalgono a un audit completo di ogni binario corretto.
Il caso richiama inoltre l’attenzione sui rischi che coinvolgono i wallet hardware: Microsoft ha segnalato il malware CryptoBandits, capace di sfruttare chiavette USB per accedere a wallet crypto. La protezione del seed resta quindi il passaggio centrale per la custodia autonoma degli asset digitali.
FAQ
Quali firmware Coldcard correggono la vulnerabilità?
Coinkite ha rilasciato il firmware 5.6.1 per Mk4 e Mk5 e l’1.5.1Q per Coldcard Q.
L’aggiornamento protegge un seed già esistente?
No, un seed creato con firmware vulnerabile resta esposto anche dopo l’installazione dell’aggiornamento e richiede una migrazione verso un nuovo seed.
Come si crea un nuovo seed più sicuro?
Il nuovo processo richiede 65 pressioni di tasti, oppure 50 lanci di dado, oppure 128 lanci di moneta combinati con l’entropia interna.
Il ripristino di Coldcard genera nuove chiavi?
No, ripristinare o clonare il wallet ricrea la medesima chiave privata potenzialmente compromessa; serve una generazione ex novo del seed.
Come è stata verificata questa ricostruzione?
Il contenuto nasce da analisi approfondita e verifica incrociata della nostra Redazione su numerose fonti, tra cui The Cryptonomist, con supervisione umana prima della pubblicazione.
Articolo pubblicato con l’ausilio del sistema di Redazione AI AGENTICA di Datamoney, e supervisione umana finale.Non perdere gli errori di prezzo clamorosi su Amazon!
Iscriviti al canale Telegram e ricevili in tempo reale
Guide agli acquisti su Amazon
Le notizie più lette su Assodigitale
✨ Classifica generata dalla Agentic AI (REDAZIONE AI) di Datamoney.ch
