Coinkite, produttore del portafoglio hardware Coldcard — un dispositivo da tempo considerato un'opzione premium tra i sostenitori dell'autogiardia Bitcoin — ha informato gli utenti di cambiamenti significativi nelle proprie pratiche di conservazione dei dati in seguito a un exploit da 116 milioni di dollari, il più grande incidente di sicurezza di luglio 2026. La comunicazione, ripubblicata sul conto X ufficiale di Coldcard venerdì mattina presto, ha annunciato che Coinkite non eliminerà più automaticamente i record dei clienti.

L'inversione di rotta della politica è direttamente legata a un exploit del firmware che ha sottratto oltre 100 milioni di dollari in Bitcoin dai portafogli hardware Coldcard dal 30 luglio 2026.

Modifiche alla gestione dei dati utente

Coinkite ha confermato che modificherà il modo in cui elabora i dati dei clienti "in connessione con l'incidente di sicurezza divulgato il 30 luglio 2026." Prima di questo cambiamento, l'azienda eliminava regolarmente i record dei clienti, conservando solo gli indirizzi email e i paesi di residenza.

Il cambiamento è descritto come una preparazione agli "obblighi legali" derivanti dal furto. Gli exploit di criptovalute su larga scala generano frequentemente cause civili e indagini normative, procedimenti che richiedono tipicamente una conservazione prolungata di record di transazione, comunicazioni con i clienti e prove forensi. Coinkite non ha specificato quali dati aggiuntivi intenda conservare né per quanto tempo durerà il nuovo periodo di conservazione.

La mossa rappresenta una deviazione notable dai principi di autogiardia orientati alla privacy a lungo sostenuti dalla comunità Bitcoin, dove la minimizzazione della raccolta dati è stata considerata una funzionalità di sicurezza fondamentale piuttosto che una semplice preferenza di privacy.

Dettagli dell'exploit

La revisione della politica di conservazione dei dati segue uno degli incidenti di sicurezza più dannosi del 2026. La vulnerabilità prendeva di mira il firmware versione 4.0.1, che Coinkite aveva rilasciato a marzo 2021.

Al centro dell'exploit c'è il modo in cui i portafogli hardware generano le frasi seed. Una frase seed codifica l'entropia da cui derivano tutte le chiavi private; se il generatore di numeri casuali che produce quell'entropia è difettoso, gli attaccanti possono ricostruire indipendentemente le stesse chiavi senza mai toccare fisicamente il dispositivo. Questa classe di vulnerabilità è particolarmente grave perché aggira le protezioni hardware — elementi sicuri, gate PIN e resistenza fisica alle manomissioni — che definiscono la proposta di valore di un portafoglio hardware.

Come aveva avvertito TRM Labs, l'installazione del firmware corretto protegge solo i portafogli creati in futuro. Qualsiasi seed generato su un Coldcard vulnerabile tra marzo 2021 e il rilascio della patch deve essere considerato compromesso.

Cryptopolitan ha documentato quattro ondate di attacco da quando l'exploit è stato segnalato per la prima volta il 30 luglio. L'ondata iniziale ha sottratto circa 594 BTC — per un valore di quasi 38 milioni di dollari all'epoca — da circa 500 portafogli in soli 25 minuti. Galaxy Research ha tracciato altre tre ondate nei quattro giorni successivi. Al momento di questo rapporto, l'attaccante ha accumulato 1.816 BTC in oltre 5.200 indirizzi.

TRM Labs classifica l'incidente come il terzo più grande hack di criptovalute del 2026, un anno in cui il settore ha già perso più di 1,2 miliardi di dollari in 276 incidenti. A differenza delle violazioni di smart contract che dominano le perdite di exchange e DeFi, gli exploit di portafogli hardware minano direttamente il modello di fiducia dell'autogiardia offline — un segmento che ha storicamente ricevuto meno auditing di sicurezza di terze parti rispetto a protocolli e dApp.

Coinkite respinge le accuse di conoscenza pregressa

Con il montare delle perdite, sono emerse accuse secondo cui Coinkite fosse a conoscenza della vulnerabilità da anni. L'azienda ha pubblicamente respinto queste affermazioni.

Rispondendo a Jack Mallers il 7 agosto, COLDCARD ha dichiarato su X che "non c'era un fallback di entropia debole," sostenendo che il generatore di numeri pseudo-casuali (PRNG) debole, chiamato Yasmarang, era il generatore generico integrato di MicroPython introdotto a monte — piuttosto che un fallback progettato da Coinkite.

Separatamente, il 5 agosto, i report indicavano che un episodio del 2021 di Rabbit Hole Recap, frequentemente citato come prova di conoscenza pregressa, si riferiva in realtà a una vulnerabilità diversa — non al problema RNG. La pagina delle divulgazioni storiche di Coinkite elenca 23 eventi rilevanti per la sicurezza risalenti al 2019, e l'azienda ha ripetutamente indirizzato i critici a essa.

Distribuzione geografica delle perdite

Fattori geografici hanno influenzato significativamente l'entità dei danni. Cryptopolitan ha riportato il 5 agosto che circa il 25% delle perdite attribuite riguardava titolari in Canada, con gli Stati Uniti e la Thailandia anch'essi pesantemente colpiti. Queste conclusioni si basavano sui dati di Chainalysis che collegavano il database degli indirizzi wallet alle probabili regioni.

Chainalysis ha attribuito l'esposizione sproporzionata del Canada all'adozione precoce di Bitcoin e alle campagne di influencer che hanno promosso Coldcard all'interno del Paese.

Le ripercussioni si sono estese oltre le perdite dirette. La nota di ricerca settimanale di CoinMarketCap ha affermato che l'hack ha scosso la fiducia nelle soluzioni di autogiardia e ha spinto alcuni utenti Bitcoin verso gli exchange centralizzati. In risposta, un gruppo noto come Red Team, guidato dall'amministratore delegato di AnchorWatch Rob Hamilton, ha avviato audit assistiti dall'intelligenza artificiale di portafogli e librerie Bitcoin, scansionando 150 repository fino ad oggi — uno sforzo che riflette una crescente consapevolezza che la generazione di entropia e le catene di fornitura del firmware meritino la stessa rigorosa cultura di auditing maturata attorno agli smart contract negli ultimi anni.