I piccoli detentori di Bitcoin hanno spostato monete il 31 luglio a un ritmo mai visto dal crollo di FTX, secondo CryptoQuant, mentre si diffondeva la notizia che ColdCard—un portafoglio hardware esclusivamente per Bitcoin prodotto da Coinkite, con sede a Toronto—generava chiavi vulnerabili da cinque anni.

I trasferimenti inferiori a 1 BTC hanno totalizzato 39.600 BTC (circa 2,5 miliardi di dollari) quel giorno, come ha twittato Julio Moreno, Head of Research dell'azienda. L'ultimo dato paragonabile risaliva a 39.900 BTC il 16 novembre 2022, pochi giorni dopo il fallimento di FTX.

The Bitcoin plebs had not move this amount of BTC in a day since the FTX collapse.

39.6K BTC transferred on July 31st after the coldcard hack, 39.9K BTC transferred on November 16 2022, a few days after the FTX collapse.

These are Bitcoin transfers < 1 BTC.

I like to see that… pic.twitter.com/c7Qzx7za6M

— Julio Moreno (@jjcmoreno) August 2, 2026

Gli indirizzi attivi giornalieri sono passati da 645.000 il 30 luglio a quasi un milione il 31 luglio, il livello più alto da dicembre 2024, con l'incremento concentrato negli indirizzi di invio anziché in quelli di ricezione.

Impennata dei depositi sugli exchange

Una parte delle monete spostate è stata inviata agli exchange. I depositi composti da trasferimenti inferiori a 10 BTC hanno raggiunto 7.300 BTC (459 milioni di dollari) il 31 luglio, il valore più alto dal 6 febbraio, secondo CryptoQuant. Moreno ha collegato il movimento alla violazione di ColdCard, affermando che le persone sembravano spostare i propri fondi "in cerca di sicurezza", pur precisando che il collegamento non era certo.

In particolare, il prezzo di Bitcoin si è mosso appena nel mezzo dell'ondata di depositi sugli exchange, suggerendo che gli utenti stavano spostando le proprie monete per metterle al sicuro anziché venderle. Bitcoin è attualmente scambiato a 62.724 dollari, in calo dello 0,7% nell'ultimo giorno, secondo i dati di CoinGecko.

L'exploit di ColdCard

Il difetto di ColdCard risale a un errore di compilazione del firmware di marzo 2021 che ha lasciato le frasi seed estratte da un pool troppo ristretto. Secondo lo standard BIP39 che disciplina le frasi di recupero dei portafogli Bitcoin, i seed dovrebbero avere un minimo di 128 bit di entropia—sufficienti per rendere la brute-force computazionalmente impraticabile. Galaxy Research ha registrato tre ondate di furti entro sabato, per un totale di 1.367 BTC attraverso 4.585 indirizzi—in aumento rispetto ai 38 milioni di dollari al momento della divulgazione del difetto e ai 70 milioni di dollari quando il fondatore di Binance Changpeng Zhao ha avvertito i detentori.

Una quarta ondata è probabilmente in corso. Alex Thorn di Galaxy Research ha segnalato sweep su 15 blocchi consecutivi lunedì, a una velocità circa 45 volte superiore al normale. Dopo aver corretto un gruppo che includeva erroneamente indirizzi multisig, Thorn ha quantificato l'ondata in 709 indirizzi e 448,73 BTC (28 milioni di dollari). Questo porterebbe il totale parziale a circa 1.816 BTC, vicino ai 114 milioni di dollari. Thorn ha aggiunto la precisazione che nessuna vittima ha ancora confermato la quarta ondata, basata sul riconoscimento di pattern.

🚨 LIKELY 4TH ORGANIZED WAVE COLDCARD ATTACK OCCURRING RIGHT NOW

THERE ARE STILL SIMILAR TXS IN THE MEMPOOL WAITING TO BE CONFIRMED AND THE PREVIOUSLY-CONFIRMED TXS SIGNAL RBF OPT-IN, CHECK YOUR FUNDS AND YOU MAY BE ABLE TO RBF YOUR WAY OUT OF THIS

pattern identified: blocks…

— Alex Thorn (@intangiblecoins) August 3, 2026

Alcuni sweep erano ancora in attesa di conferma nel mempool e avevano optato per il replace-by-fee (RBF), una funzione di Bitcoin che consente al mittente di sostituire una transazione non confermata con un'altra a commissioni più elevate. Ciò significa che i detentori che agiscono rapidamente e pagano una commissione elevata potrebbero riuscire a sovrastare l'attaccante. Nessuno degli indirizzi colpiti nelle prime tre ondate era multisig.

"Un campanello d'allarme"

Il Chief Security Officer di Kraken, Nick Percoco, ha definito l'incidente un "campanello d'allarme per l'intero settore dei portafogli hardware." I modelli Mk4, Mk5 e Q di ColdCard sono dotati di secure element certificati, ha osservato, eppure i loro seed sono comunque usciti a circa 72 bit di entropia—ben al di sotto del minimo di 128 bit dello standard BIP39—perché la certificazione riguardava il componente in sé mentre nessuno verificava quale percorso di codice venisse effettivamente eseguito. I portafogli hardware sono ampiamente considerati tra le opzioni più sicure per l'autocustodia delle criptovalute, il che colloca il divario di entropia al centro di interrogativi più ampi su come il settore convalidi le dichiarazioni di sicurezza alla base di questi dispositivi.

— Nick Percoco (@c7five) August 2, 2026

Percoco ha chiesto la validazione indipendente da parte di laboratori delle fonti di entropia, legata a specifiche versioni del firmware e inserita in un registro pubblico, come già previsto per i terminali di pagamento. Ha aggiunto che la hotfix di Coinkite ora fa fallire la compilazione a meno che non venga collegato il generatore corretto—un controllo che, a suo dire, ha richiesto circa 48 ore per essere scritto una volta che l'azienda sapeva cosa cercare. Si consiglia agli utenti interessati che aggiornano il firmware di generare un nuovo portafoglio con una frase seed appena creata e di trasferire eventuali fondi rimanenti prima di dismettere le parole di recupero compromesse.