La divisione di ricerca di Galaxy stima ora che i furti confermati di bitcoin legati al wallet hardware Coldcard abbiano superato i 100 milioni di dollari, distribuiti in tre distinte ondate di attacco. Il dato rappresenta un’escalation significativa in quello che è diventato uno degli incidenti di sicurezza self-custody più seguiti dell’anno, e mette in evidenza una realtà scomoda per la comunità bitcoin: anche i dispositivi progettati specificamente per la conservazione offline delle chiavi possono presentare vulnerabilità sfruttabili.

Stime riviste di Galaxy

Secondo la copertura sui risultati dell’azienda, il reparto di ricerca di Galaxy classifica le perdite confermate in tre ondate di attacco separate, anziché in un unico exploit continuo. Il totale di 100 milioni di dollari segna un forte aumento rispetto alla precedente analisi di Galaxy, che aveva portato la stima delle perdite di Coldcard a 70 milioni di dollari man mano che venivano identificati e tracciati altri wallet coinvolti.

Galaxy traccia una distinzione netta tra i furti confermati e un insieme più ampio di perdite sospette che restano non quantificate. La cifra rivista riflette solo i casi verificati, non l’insieme completo dei potenziali utenti coinvolti.

L’importanza per i detentori di bitcoin è notevole. Coldcard, prodotto da Coinkite, è un dispositivo di cold storage ampiamente adottato e commercializzato specificamente per la sicurezza della self-custody. Il suo appeal si è a lungo basato sul design air-gapped — il dispositivo è progettato per funzionare senza una connessione Internet diretta, una caratteristica pensata per ridurre l’esposizione ad attacchi remoti. Una perdita confermata a nove cifre concentrata su un’unica linea di prodotto hardware solleva domande pressanti su come siano avvenuti i compromessi e se altri utenti restino esposti. I wallet hardware di produttori come Coldcard, Ledger e Trezor sono stati ampiamente presentati come lo standard di riferimento per la self-custody negli anni successivi ai grandi fallimenti degli exchange, come Mt. Gox e FTX, che hanno eroso la fiducia nelle piattaforme centralizzate, rendendo questo episodio particolarmente rilevante per la narrazione più ampia della self-custody.

Tre ondate di attacco e la vulnerabilità nella generazione del seed

L’analisi di Galaxy raggruppa i furti confermati in tre ondate, anche se il breve non specifica date precise, ordine cronologico o le diverse modalità operative degli attaccanti dietro ciascuna ondata.

Un filo conduttore tra gli incidenti riguarda la generazione del seed. Coinkite ha pubblicato un avviso relativo alla generazione del seed su Mk3 — il processo con cui viene creata la frase di recupero di un wallet. La seed phrase di un wallet funziona come chiave master: chiunque riesca a ricostruirla o prevederla ottiene il controllo completo dei fondi associati. Una debolezza nella generazione del seed può potenzialmente consentire a un attaccante di ricostruire le chiavi crittografiche che proteggono i fondi di un utente, senza necessità di accesso fisico al dispositivo o di interazioni di phishing con l’utente.

Resta non specificato come ciascuna delle tre ondate si colleghi a metodi, tempistiche o gruppi di attacco specifici. Questi meccanismi non sono descritti nelle prove disponibili e non dovrebbero essere dedotti oltre quanto affermato ufficialmente da Galaxy e Coinkite.

Implicazioni per la sicurezza del dispositivo e l’errore dell’utente

Un elemento critico di questo incidente è il collegamento apparente tra le perdite confermate e il modo in cui le chiavi sono state generate sul dispositivo stesso, piuttosto che a singoli attacchi di phishing o alla gestione imprudente delle chiavi da parte degli utenti. Ciò sposta la responsabilità verso il processo hardware e firmware, non soltanto verso l’errore dell’utente — una distinzione che pesa molto nel modo in cui il settore dei wallet hardware e i suoi clienti valutano e affrontano il rischio.

Per gli utenti attuali o potenziali di Coldcard, l’indicazione pratica ruota attorno all’avviso sulla generazione del seed. Gli utenti che si affidano a dispositivi potenzialmente coinvolti dovrebbero seguire le raccomandazioni ufficiali di Coinkite sulla verifica o rigenerazione dei propri wallet.

La scala delle perdite confermate — un totale a nove cifre concentrato su una sola linea di wallet hardware e distribuito su tre ondate separate — colloca questo episodio tra gli eventi di sicurezza self-custody più rilevanti documentati quest’anno e aggiunge ulteriore attenzione alle pratiche di generazione del seed nell’ecosistema più ampio dei wallet hardware.

Questo articolo ha finalità esclusivamente informative e non costituisce consulenza finanziaria o di investimento.