Bitcoin Magazine riferisce che si ritiene siano stati rubati più di 1.000 bitcoin in un hack iniziato a essere discusso sui social media nel pomeriggio del 30 luglio. Coinkite, un produttore di wallet hardware noto soprattutto per la sua linea Coldcard di dispositivi Bitcoin-only, è risultato avere un bug critico nel modo in cui i suoi wallet hardware generavano chiavi private sicure, e gli esperti del settore ritengono che nell'attacco possa essere stata usata l'IA.

I dispositivi Coldcard MK3 con le versioni firmware dalla 4.0.1, rilasciata nel marzo 2021, fino alla 4.1.9 sono considerati i più colpiti. I seed da 12 o 24 parole generati dal dispositivo sono vulnerabili se non includevano l'uso di lanci di dadi generati dall'utente o una BIP 39 extra passphrase — una parola o frase aggiuntiva opzionale che funziona come una venticinquesima parola del seed, creando un livello separato di wallet sopra il seed standard.

Gli utenti che rientrano in questa descrizione e detengono bitcoin in un Coldcard MK3 dovrebbero considerare i propri fondi a rischio e spostarli il prima possibile. Shinobi, technical writer di Bitcoin Magazine, ha pubblicato una guida sull'argomento, e Coinkite ha pubblicato anche una guida e un avviso.

La vulnerabilità era legata a una specifica riga di codice nel firmware, il codice software di basso livello che controlla l'hardware. Il firmware sembra essere aggiornabile. Coinkite ha aggiornato il proprio avviso nella mattinata del 31 luglio, affermando che il firmware corretto è ora disponibile per tutte e tre le linee di dispositivi, inclusi MK3, MK4, MK5 e Coldcard Q.

Coinkite ha scritto: “Updated July 31, 2026 at 9:33 a.m. EDT: Fixed firmware is now available. Mk4 and Mk5 users must update to version 5.6.0 or later. Q users must update to version 1.5.0Q or later. For Mk3, update to version 4.2.0 or later.”

L'azienda ha inoltre spiegato nel proprio avviso che aggiornare il firmware non significa che le chiavi private e pubbliche generate in precedenza dal firmware vulnerabile siano ora sicure; quelle chiavi restano vulnerabili perché di fatto sono state create con una password debole. Dopo l'aggiornamento del firmware, è necessario creare un nuovo wallet e trasferire i fondi onchain ai nuovi indirizzi per mettere in sicurezza i fondi.

Coinkite ha scritto: “Updating the firmware does not change or repair an existing seed. If your seed was generated before the fixed firmware version for your model, follow the migration guidance below unless the independent dice-entropy exception applies to you.”

Alcuni wallet multisignature potrebbero essere a rischio

Peter Todd, contributor di Bitcoin Core e ingegnere di cybersecurity, ha affrontato oggi casi limite specifici per i wallet multisignature che utilizzano più Coldcard per mettere in sicurezza i fondi.

Ha fornito questo esempio: “Example case: you have a 2-of-3, with 2 Cold Cards, and a 3rd uncompromised device. If you move your funds, the moment your script is revealed for the first time – previously hidden behind the address hash – the attacker now knows enough to use the compromised 2 cold card keys to steal your funds.”

La transazione che rivela lo script multisig potrebbe non essere confermata, dando agli hacker abbastanza tempo per creare una transazione concorrente con una fee più alta. Fortunatamente, casi del genere hanno una soluzione: il mining pool MARA può aiutare in questo caso con il suo servizio privato di mining mempool, Slipstream ; “because they promise to keep your transaction – and thus pubkeys – secret until they’re already in a block. Dramatically reducing the ability of the attacker to steal the funds,” ha detto Todd. Ha aggiunto che “If you’ve already reused addresses, this isn’t relevant, and you should just try to move your funds ASAP. But if you haven’t, MARA may be able to help.”

Oltre la crisi immediata

NVK, uno dei cofondatori di Coldcard, ha pubblicato su X un lungo post con un'analisi iniziale oltre le misure di sicurezza di base necessarie per proteggere i fondi. In esso ha scritto che l'azienda è “committed to working with affected users who want to pursue a police report, insurance claim, or their own investigation”, incluso “a written incident summary specific to your loss and any transaction data we can share”.

Oltre la crisi immediata, NVK ha indicato un cambiamento tecnologico più ampio, poiché le capacità di hacking dell'IA iniziano a modificare le precedenti dinamiche e aspettative della cybersecurity. Nel post ha scritto:

“To every other developer: we believe this is a sober reality of the new AI paradigm. AI-assisted code review can now find latent bugs at a speed that is outpacing even the industry’s most seasoned experts. If your firmware is open-source or has ever been public, assume it’s already being read by attackers and defenders alike.”

L'hack e gli oltre 70 million dollars di fondi rubati stimati nelle ultime 24 ore rappresentano un'effettiva ricompensa pagata agli hacker, che ora probabilmente stanno analizzando ogni codebase di wallet disponibile alla ricerca di vulnerabilità. Sebbene l'industria Bitcoin e quella crypto in generale abbiano operato di norma partendo dal presupposto che gli hacker avrebbero testato il proprio codice, lo sviluppo di modelli IA ottimizzati per la cybersecurity accelera questi processi. Nella lunga call pubblica su X Spaces di ieri sera, gli esperti del settore si sono riuniti e hanno discusso l'argomento per molte ore. Oltre alle raccomandazioni immediate e alle risposte alle domande degli utenti Bitcoin durante il lungo Spaces, è stata discussa anche l'analisi di ciò che è probabile accada nelle prossime settimane. È probabile che altri fornitori di wallet vengano esaminati, e in particolare i progetti open source che generano materiale per chiavi private saranno testati. Lo Spaces su X non è stato registrato, probabilmente per preservare la privacy di tutti i partecipanti; tuttavia, il sentimento iniziale suggerisce che le aziende dovranno auditare il proprio codice con i modelli frontier più recenti, per una questione di sopravvivenza. I più recenti modelli IA orientati alla cybersecurity di Anthropic, OpenAI, Moonshot’s Kimi K3 e altri sono già disponibili al pubblico. Molte aziende dell'industria Bitcoin li usano già per testare l'integrità del codice, ma alcune potrebbero non farlo, e la corsa a individuare vulnerabilità nel codice rivolto ai wallet continuerà certamente, soprattutto nelle prossime settimane. In definitiva, oggi piangiamo le monete perdute, e si entra in una fase di introspezione e revisione attenta. Oltre questo hack ormai storico, ci sarà un'industria e un'infrastruttura open source di self-custody che probabilmente sarà ordini di grandezza più sicura, con lezioni molto dure apprese. Dopotutto, ogni hacker con un agente IA probabilmente sta già testando le difese.

Wallet multi-vendor, multi-key e covenant

I futuri wallet ad alta sovranità, sia a livello retail sia corporate, probabilmente non dipenderanno da un singolo fornitore. I wallet multisignature, se progettati bene, possono distribuire il rischio di vulnerabilità tra codebase, team e hardware diversi.

Anche l'entropia generata dall'utente è stata un tema importante nello Spaces di cui sopra, con l'entropia generata dai lanci di dadi citata regolarmente come soluzione. Coldcard, così come altri wallet hardware come Foundation Devices, guida gli utenti su come aggiungere correttamente la propria entropia; è necessario lanciare molti dadi, idealmente ben oltre un centinaio di lanci individuali. Una volta fatto, però, i lanci di dadi rappresentano una fonte di casualità non software per i wallet e separano anche gli utenti dai rischi limite dell'entropia generata da software o hardware. I covenant, un soft fork molto popolare in una certa nicchia dell'industria Bitcoin, hanno iniziato a essere menzionati anche come ulteriore passo per rafforzare il settore della self-custody. Questo aggiornamento del consenso di Bitcoin, che potrebbe essere difficile da far approvare se mai venisse adottato, potrebbe offrire agli utenti importanti capacità di smart contract, come un wallet che può inviare solo a una whitelist di indirizzi, qualcosa che oggi non è possibile nello script Bitcoin.

Questo post Coinkite Releases Fixed Firmware After Coldcard Bug; AI Likely Involved In The Breach è apparso per la prima volta su Bitcoin Magazine ed è scritto da Juan Galt .