Una grave falla software in Coldcard, un hardware wallet Bitcoin ampiamente utilizzato, potrebbe aver consentito agli aggressori di sottrarre circa 70 milioni di dollari in Bitcoin in meno di un’ora, spingendo ricercatori di sicurezza e il produttore del dispositivo a lanciare avvisi urgenti.

Forbes ha riportato per primo gli attacchi. I ricercatori di Galaxy Research affermano che il 30 luglio gli aggressori hanno prosciugato oltre 1.000 Bitcoin da 1.196 wallet digitali in soli 41 minuti. Successivamente Galaxy ha identificato altre due presunte ondate di attività sospette, portando le perdite stimate a quasi 89 milioni di dollari.

Galaxy ha avvertito che le proprie conclusioni si basano sull’analisi della blockchain e che non ha confermato che ogni wallet coinvolto sia stato creato usando il software vulnerabile.

Coldcard, prodotto dall’azienda canadese Coinkite, è un dispositivo portatile utilizzato dagli investitori in criptovalute per conservare Bitcoin offline invece che su un exchange di criptovalute. Comunemente definito un "hardware wallet", il dispositivo è progettato per impedire agli hacker di accedere ai Bitcoin di un utente da remoto. Gli hardware wallet sono ampiamente raccomandati dagli esperti di sicurezza come uno dei metodi più sicuri per conservare criptovalute perché mantengono le chiavi private scollegate dai dispositivi connessi a Internet, rendendo questa vulnerabilità particolarmente rilevante per il settore.

Secondo un avviso di sicurezza del team Bitcoin Engineering and Security di Block, un errore di codifica in alcune versioni del firmware di Coldcard potrebbe aver indebolito una delle principali funzioni di sicurezza del wallet. Block ha affermato che il bug potrebbe aver reso alcune recovery phrase sufficientemente prevedibili da consentire ad aggressori sofisticati di dedurle in determinate circostanze, permettendo potenzialmente il furto di Bitcoin senza accesso fisico al dispositivo. Una recovery phrase, nota anche come seed phrase, è una sequenza di parole che funziona come chiave principale, garantendo pieno accesso ai fondi memorizzati in un wallet. Se compromessa, un aggressore può controllare i Bitcoin associati indipendentemente dal dispositivo fisico o dal software utilizzato.

Block ha dichiarato di aver pubblicato i propri risultati perché ritiene che gli attacchi siano ancora in corso, sebbene i ricercatori abbiano osservato di continuare a indagare esattamente su come la vulnerabilità venga sfruttata.

Coinkite ha successivamente rilasciato un aggiornamento software progettato per impedire che il problema colpisca i wallet creati di recente. Tuttavia, l’azienda ha avvertito che la semplice installazione dell’aggiornamento non proteggerà gli utenti che avevano già generato una recovery phrase usando il firmware interessato.

"Updating the firmware does not repair a seed that was generated by affected firmware," ha dichiarato Coinkite nel proprio avviso di sicurezza. "A new seed must be generated and the funds migrated to the new wallet."

Coinkite ha inoltre avvertito che importare la stessa recovery phrase in un altro wallet non risolve la vulnerabilità, poiché la debolezza è legata alla recovery phrase stessa e non al dispositivo fisico.

Il CEO di Coinkite Rodolfo Novak ha pubblicato una scusa su X, affermando che l’azienda era "heartbroken" e che stava assumendo la "full accountability for the firmware bug".

"I'm sorry and I'm devastated," ha scritto Novak. "Our team is heartbroken about yesterday's news."

Novak ha esortato i clienti ad agire immediatamente: "If you generated a seed using a Coldcard wallet, move your funds now, using our updated best practices, before reading further."

Ha inoltre chiesto al pubblico di contribuire a diffondere l’avviso: "If you know anyone who owns a Coldcard, please make sure they see this," ha scritto Novak. "Some affected users may not be watching social media right now, and every hour matters."

Novak ha detto che Coinkite sta ancora lavorando per determinare con precisione quante persone possano essere state colpite e prevede di pubblicare una spiegazione tecnica dettagliata una volta completata l’indagine. "We do not have full attribution or scope of the issue yet, and we won't speculate until our full technical evaluation is complete," ha scritto Novak.

L’azienda ha dichiarato che aiuterà anche i clienti colpiti che desiderano presentare denunce alla polizia o richieste di risarcimento assicurativo e che sta collaborando con investigatori della blockchain e con le forze dell’ordine.

L’avvertimento si è diffuso rapidamente in tutto il settore delle criptovalute. Il CEO di Jan3, Samson Mow, ha scritto su X: "If you're using a COLDCARD, any version firmware or MK, migrate your funds immediately," ha scritto su X. "If you know someone who is, let them know ASAP... Attacks are ongoing so do it quickly."

Sebbene l’avviso iniziale si concentrasse sui modelli Coldcard più vecchi, Coinkite ha successivamente ampliato l’elenco dei prodotti interessati includendo ulteriori modelli e versioni software. L’azienda ha inoltre affermato che i clienti che hanno generato la propria recovery phrase usando almeno 50 lanci privati di dadi non sono colpiti da questa specifica falla da sola. Tuttavia, Coinkite raccomanda a chiunque non sia sicuro di come sia stato configurato il proprio wallet di creare una nuova recovery phrase e trasferire i fondi come precauzione.

Block ha sottolineato che nessuno dei propri prodotti o clienti è colpito dalla vulnerabilità. L’azienda ha affermato di aver pubblicato i risultati dopo aver collaborato con ricercatori di sicurezza anonimi e aver ricevuto segnalazioni da utenti di Coldcard.

Separatamente, gli sviluppatori del wallet Bitkey di Jack Dorsey hanno affermato di stare indagando su un diverso problema segnalato che riguarda il loro prodotto, ma non stanno consigliando ai clienti di smettere di usare il wallet.

"Our recommendation is to continue to use your Bitkey normally," ha scritto su X lo sviluppatore di Bitkey Clay Garrett. Garrett ha affermato che il problema segnalato richiederebbe "exceptional circumstances" per essere sfruttato e non fornirebbe a un aggressore informazioni sufficienti per rubare i fondi dei clienti. "Our assessment is this presents no risk of remote drains or immediate funds loss," ha aggiunto.

FOX Business ha contattato Coinkite, Galaxy Research, Block, la Cybersecurity and Infrastructure Security Agency (CISA), l’FBI, la Royal Canadian Mounted Police (RCMP), il Canadian Centre for Cyber Security e Chainalysis per un commento, ma non ha ricevuto una risposta immediata.