I wallet air-gapped sono progettati per non connettersi mai direttamente a Internet o a qualsiasi rete wireless, mantenendo le chiavi private isolate dalle minacce online. Sono ampiamente considerati come una delle forme più solide di protezione per l'autocustodia disponibili per i singoli possessori di criptovalute.

È proprio questa reputazione a rendere il recente exploit di Coldcard così allarmante. Il wallet hardware dedicato esclusivamente al Bitcoin, prodotto da Coinkite, è stato compromesso da una vulnerabilità nel firmware che ha portato al furto di oltre 114 milioni di dollari in fondi utente, una cifra che continua a crescere.

Wallet di criptovalute: le basi

A dispetto del nome, i wallet di criptovalute non conservano effettivamente Bitcoin, Ethereum o altre risorse digitali. Contengono invece le chiavi pubbliche e private necessarie per accedere ai fondi registrati su una blockchain e trasferirli.

Una chiave pubblica funziona in modo simile a un numero di conto, consentendo ad altri di inviare criptovalute a un indirizzo specifico. Una chiave privata agisce come una password o una firma digitale che autorizza le transazioni in uscita. Chiunque ottenga una chiave privata acquisisce il pieno controllo delle risorse ad essa associate.

I wallet si presentano in molteplici forme: wallet cartacei stampati, applicazioni software, app mobili e dispositivi hardware dedicati. Si dividono in due ampie categorie: custodial (con custode) e non-custodial (senza custode).

I wallet custodial si affidano a una terza parte per conservare le chiavi private per conto dell'utente. È questa la situazione quando si depositano Bitcoin, Ethereum, Solana o altre risorse su uno scambio centralizzato come Coinbase. I wallet non-custodial, detti anche wallet di autocustodia, conferiscono all'utente il controllo completo sulle proprie chiavi, e la piena responsabilità di proteggerle.

Cosa rende un wallet "air-gapped"?

Un wallet air-gapped è un dispositivo non-custodial progettato per rimanere completamente scollegato da Internet e da tutti i protocolli di comunicazione wireless, inclusi Wi-Fi, Bluetooth e NFC. Il termine "air gap" indica la separazione fisica tra il wallet e qualsiasi rete online.

Poiché il dispositivo non stabilisce mai una connessione a Internet, offre una superficie di attacco nettamente inferiore per hacker, malware e campagne di phishing.

Chi produce wallet air-gapped?

Diverse aziende producono wallet hardware specificamente concepiti per funzionare senza una connessione diretta a Internet o wireless.

I produttori più noti includono ELLIPAL, il cui wallet Titan utilizza codici QR al posto di USB o Bluetooth; Keystone, che si basa anch'esso sulla comunicazione tramite QR; Foundation Devices, produttrice del wallet Passport dedicato al Bitcoin; Blockstream, il cui wallet Jade supporta transazioni Bitcoin completamente air-gapped tramite codici QR; e Coldcard stesso.

Coldcard, prodotto da Coinkite, è un dispositivo dedicato esclusivamente al Bitcoin che supporta la firma offline delle transazioni tramite microSD card e codici QR opzionali. È anche il wallet al centro del recente exploit del firmware responsabile di oltre 100 milioni di dollari in fondi rubati fino ad oggi.

Aziende come Ledger e Trezor producono anch'esse wallet hardware, sebbene i loro dispositivi si connettano generalmente via USB o Bluetooth durante l'uso ordinario. I wallet air-gapped si differenziano per essere progettati fin dall'inizio per mantenere le chiavi private completamente isolate da Internet.

Come gli esperti di sicurezza hanno sottolineato a seguito dell'incidente di Coldcard, nessuna opzione di wallet è mai completamente priva di rischi.

I wallet air-gapped sono davvero più sicuri?

Mantenere un wallet permanentemente offline riduce in modo sostanziale l'esposizione agli attacchi remoti. I malware non possono raggiungere un dispositivo che non si connette mai a Internet e gli hacker non possono sfruttare connessioni di rete inesistenti.

Tuttavia, i wallet air-gapped non sono immuni a ogni categoria di minaccia. Gli utenti devono comunque proteggere la propria frase di recupero, verificare tutti i dettagli delle transazioni prima di firmarle e mantenere il controllo fisico del dispositivo. Una frase di recupero persa o rubata può compromettere in modo permanente l'accesso al wallet. Analogamente, un attaccante con accesso fisico al dispositivo potrebbe comunque riuscire a sfruttarlo, a seconda delle funzionalità di sicurezza integrate.

Il compromesso riguarda la comodità. L'invio di fondi da un wallet air-gapped comporta in genere la scansione di codici QR o il trasferimento di file tra dispositivi, un processo più lento rispetto all'uso di un wallet software o di un account su uno scambio.

Nessun wallet è immune

Alla fine di luglio 2026, Coinkite ha divulgato che un errore di build del firmware introdotto a marzo 2021 aveva portato alcuni wallet Coldcard a generare seed phrase da un insieme di valori possibili drasticamente inferiore a quello previsto. La riduzione dell'entropia ha indebolito la casualità a protezione delle chiavi private degli utenti, rendendole vulnerabili ad attaccanti in grado di indovinare le seed phrase, o di utilizzare strumenti di intelligenza artificiale per farlo molto più rapidamente di quanto sarebbe possibile manualmente.

Le seed phrase, standardizzate dal Bitcoin Improvement Proposal 39 (BIP39), sono destinate a essere estratte da una gamma enorme di possibili combinazioni, dell'ordine di 2^128 o superiore, proprio affinché indovinarle risulti computazionalmente irrealizzabile. Quando l'entropia viene compromessa, quella garanzia crittografica crolla e il modello di sicurezza alla base dell'intero wallet si disintegra con essa.

Le conseguenze sono gravi. Se un attaccante ottiene una chiave privata, sia per insufficienti misure di sicurezza, per un hack, per una truffa o per aver indovinato correttamente una seed phrase compromessa, acquisisce il controllo di tutti i fondi associati a quell'indirizzo.

L'incidente Coldcard si sviluppa

I ricercatori di Galaxy Research hanno riferito che l'exploit di Coldcard si è sviluppato in più ondate, con perdite osservate in aumento da circa 88 milioni a quasi 114 milioni di dollari in Bitcoin nel giro di pochi giorni. L'escalation ha spinto un gran numero di utenti Coldcard a trasferire i propri Bitcoin dopo che i ricercatori avevano avvertito che ulteriori indirizzi vulnerabili erano ancora a rischio.

La violazione è risultata particolarmente significativa perché Coldcard, lanciato nel 2017, è da tempo considerato uno dei wallet hardware per Bitcoin più orientati alla sicurezza sul mercato. Il firmware del dispositivo è open-source, il che in linea di principio consente a ricercatori di sicurezza indipendenti di auditare il codice, eppure l'errore di build è rimasto inosservato per circa cinque anni, un vuoto che ha riacceso il dibattito su quanto efficacemente la comunità riesca a revisionare in pratica il firmware dei wallet hardware.

L'incidente sottolinea che, pur mantenendo un wallet offline per proteggerlo da molte minacce online, l'archiviazione offline non può eliminare ogni rischio. La sicurezza complessiva di un wallet dipende anche dalla qualità dell'hardware, dall'integrità del firmware, dalla generazione di numeri casuali e dalle pratiche di sviluppo del software. Un air gap è un livello critico di difesa, non una prova che un dispositivo sia privo di vulnerabilità.

Secondo gli esperti di sicurezza, un modo per ridurre l'esposizione consiste nell'evitare punti singoli di fallimento, in altre parole, nel non concentrare tutte le proprie criptovalute in un unico wallet o luogo. Le configurazioni multifirma, o multisig, che richiedono più dispositivi o chiavi indipendenti per autorizzare una singola transazione, rappresentano un approccio ampiamente consigliato per gli utenti che custodiscono quantitativi rilevanti di Bitcoin, poiché la compromissione di un solo firmatario non è sufficiente a muovere i fondi.