Il furto di oltre 1.000 BTC, valutati circa 70 milioni di dollari, dai portafogli Bitcoin Coldcard vulnerabili rappresenta una delle compromissioni di portafogli hardware più significative mai registrate. Coldcard, prodotto dall'azienda canadese di sicurezza Bitcoin Coinkite, è ampiamente considerato uno dei portafogli hardware più orientati alla sicurezza sul mercato, apprezzato per il suo design air-gapped che mantiene le chiavi private isolate dai dispositivi connessi a Internet. Ciò che distingue questo incidente è che gli attaccanti non hanno mai richiesto accesso fisico ai dispositivi o alle frasi di recupero degli utenti — sconfiggendo proprio il modello di minaccia contro cui il portafoglio era stato costruito per difendersi.

I ricercatori stimano ora che 1.082,65 BTC siano stati rubati da 1.196 portafogli in un'operazione coordinata durata solo 41 minuti il 30 luglio. Questa cifra quasi raddoppia la stima iniziale di 594 BTC. Secondo Galaxy Research, i fondi sono stati prosciugati attraverso sei blocchi Bitcoin consecutivi, con i portafogli svuotati in rapida successione.

A differenza della maggior parte degli attacchi ai portafogli hardware, che si basano tipicamente sull'ingegneria sociale — ingannando gli utenti affinché rivelino le frasi seed, installino firmware dannoso o cedano i propri dispositivi — questo exploit ha preso di mira il processo stesso di creazione del portafoglio. Un bug del firmware introdotto a marzo 2021 ha causato la generazione di frasi seed di recupero da parte dei dispositivi Coldcard Mk3 interessati utilizzando una casualità software prevedibile invece del generatore hardware di numeri casuali sicuro del dispositivo.

Ciò significava che gli attaccanti potevano ricostruire matematicamente le chiavi private delle vittime da remoto, senza mai toccare i portafogli hardware. Rappresenta uno dei rari casi documentati in cui un difetto nella generazione di entropia del portafoglio — e non un errore umano o il phishing — ha portato direttamente a un furto su larga scala. Il fallimento richiama una classe di vulnerabilità osservata in altri sistemi crittografici, in particolare il bug Debian OpenSSL del 2008, in cui una singola modifica al codice ha fatto collassare il bacino di chiavi possibili generate da milioni di server, costringendo a una riemissione globale di certificati SSH e SSL.

Come Funzionava l'Exploit

La catena di attacco si è articolata nelle seguenti fasi:

1. Creazione del portafoglio: Durante la configurazione, il portafoglio hardware Coldcard è progettato per generare un numero casuale crittograficamente sicuro noto come seed, che costituisce il fondamento della sicurezza del portafoglio.

2. Credenziali derivate dal seed: Ogni chiave privata, chiave pubblica e indirizzo di criptovaluta che il portafoglio creerà è matematicamente derivato da questo seed utilizzando algoritmi standardizzati e pubblicamente noti. Finché il seed rimane imprevedibile, il portafoglio rimane sicuro.

3. Design dell'RNG hardware: In condizioni di funzionamento normali, il firmware del portafoglio ottiene entropia da un generatore hardware di numeri casuali dedicato (RNG), producendo un seed che è effettivamente impossibile da prevedere o riprodurre.

4. Errata configurazione della build del firmware: Un'impostazione di build interna ha erroneamente istruito il firmware a bypassare il generatore hardware di numeri casuali durante la creazione del portafoglio.

5. Fallimento della validazione: Invece di verificare se l'RNG hardware fosse effettivamente abilitato, una libreria software di supporto controllava solo se l'opzione di configurazione esistesse. A causa di questa logica di validazione difettosa, il firmware ha proceduto senza generare alcun errore.

6. Fallback più debole: Invece di utilizzare l'entropia hardware imprevedibile, il firmware ha generato il seed utilizzando una routine software di base.

7. Input prevedibili: La routine software è stata inizializzata utilizzando due fonti: il numero di serie assegnato in fabbrica del dispositivo, che non cambia mai, e i registri di clock del chip, i cui valori possono essere stimati o riprodotti da un attaccante utilizzando un altro dispositivo dello stesso modello.

8. Collasso dello spazio dei seed: Invece di selezionare da un numero astronomicamente grande di seed possibili, i portafogli interessati potevano generare solo un insieme molto più piccolo e finito. Sui vecchi dispositivi Coldcard Mk2 e Mk3, i ricercatori hanno scoperto che la generazione del seed poteva essere determinata direttamente. Sui modelli Mk4, Q e Mk5, lo spazio dei seed possibili è stato ridotto a circa 4 miliardi di combinazioni.

9. Brute-force offline: Poiché quattro miliardi di possibilità rientrano ampiamente nelle capacità dei computer moderni, un attaccante poteva generare sistematicamente ogni seed candidato sul proprio hardware, interamente offline.

10. Derivazione degli indirizzi: Per ogni seed generato, l'attaccante derivava tutti gli indirizzi di criptovaluta corrispondenti utilizzando gli stessi standard di derivazione pubblica impiegati dal portafoglio.

11. Confronto con la blockchain: Poiché gli indirizzi e i saldi della blockchain sono pubblici, l'attaccante verificava se un indirizzo generato corrispondeva a uno contenente criptovaluta.

12. Nessuna interazione richiesta con la vittima: L'intero attacco è stato eseguito offline. Il Coldcard della vittima non doveva mai essere connesso a Internet, sbloccato o fisicamente accessibile. Il dispositivo poteva rimanere spento in una cassaforte mentre l'attaccante conduceva la ricerca altrove.

13. Formati di indirizzo multipli: Secondo l'analisi di Galaxy, i portafogli compromessi includevano 1.183 con indirizzi Native SegWit moderni, 7 con indirizzi SegWit più vecchi e 6 con formati di indirizzo legacy.

14. Enumerazione automatizzata: Invece di prendere di mira singole vittime, l'attaccante ha testato sistematicamente ogni seed possibile e ogni percorso di derivazione degli indirizzi fino a trovare portafogli fondati, indicando una scansione automatizzata.

15. Capacità di ricerca illimitata: Poiché l'attacco è interamente offline, l'attaccante può mettere in pausa, espandere, perfezionare e riprendere il processo di enumerazione in qualsiasi momento, aumentando la probabilità di scoprire ulteriori portafogli vulnerabili.

Implicazioni per la Sicurezza dei Portafogli Hardware

L'incidente mette in discussione uno dei presupposti fondamentali della sicurezza di Bitcoin: che i portafogli hardware forniscano una protezione forte finché gli utenti mantengono le proprie frasi di recupero offline. In questo caso, sono stati i portafogli stessi a generare frasi seed deboli, rendendo vulnerabili anche i dispositivi correttamente conservati anni dopo la loro creazione.

Il difetto riguarda specificamente i portafogli Coldcard Mk3 creati utilizzando la versione firmware 4.0.1 o successiva durante il periodo interessato. Non si ritiene che i modelli Coldcard più recenti siano stati colpiti da furti effettivi, sebbene i ricercatori abbiano notato che lo spazio dei seed sui modelli Mk4, Q e Mk5 sarebbe stato ridotto a circa 4 miliardi di combinazioni se il bug fosse stato presente.

L'attacco evidenzia come anche la sicurezza hardware più affidabile possa essere fundamentalmente compromessa se la casualità crittografica fallisce nel momento in cui un portafoglio viene creato — una vulnerabilità che nessun livello di vigilanza dell'utente può mitigare. L'implicazione più ampia per l'industria dei portafogli hardware è che la generazione di entropia rappresenta un singolo punto di fallimento la cui correttezza è difficile da verificare esternamente, poiché la casualità prodotta durante la produzione e la configurazione non è facilmente controllabile dagli utenti finali o da revisori terzi successivamente.