Alex Thorn, Managing Director e Head of Firmwide Research di Galaxy Digital, ha segnalato quello che ha descritto come una probabile quarta ondata organizzata di attacchi rivolti agli utenti del wallet Coldcard intorno alle 1:00 UTC del 3 agosto 2026 — pochi giorni dopo la revisione della prima ondata. Coldcard, un hardware wallet solo Bitcoin prodotto da Coinkite, è ampiamente utilizzato da chi conserva autonomamente le proprie chiavi grazie al suo modello di firma air-gapped, rendendo questi sweep coordinati ripetuti una questione significativa per una parte degli utenti che si affidano a dispositivi dedicati per la protezione delle chiavi.

L'analisi on-chain di Thorn ha coperto i blocchi Bitcoin 960,778–960,792, abbracciando circa due ore e mezza di attività che era ancora in corso al momento della pubblicazione. Il cluster conteneva 218 transazioni che coinvolgevano 462 indirizzi di vittime sospette e 216 indirizzi di destinazione precedentemente inutilizzati. Insieme, hanno spostato 388.92748828 BTC. Con Bitcoin scambiato vicino a 62,700 dollari al momento della stesura, il totale valeva circa 24,4 milioni di dollari.

La cifra rappresenta trasferimenti sospetti e non perdite confermate e irreversibili. Alcune transazioni erano ancora in attesa nel mempool di Bitcoin, e l'attribuzione a Coldcard si basava sull'analisi on-chain di Thorn, non su un'indagine conclusa da Coinkite o dalle forze dell'ordine.

🚨 LIKELY 4TH ORGANIZED WAVE COLDCARD ATTACK OCCURRING RIGHT NOW

THERE ARE STILL SIMILAR TXS IN THE MEMPOOL WAITING TO BE CONFIRMED AND THE PREVIOUSLY-CONFIRMED TXS SIGNAL RBF OPT-IN, CHECK YOUR FUNDS AND YOU MAY BE ABLE TO RBF YOUR WAY OUT OF THIS

pattern identified: blocks…

— Alex Thorn (@intangiblecoins) August 3, 2026

Il pattern corrispondeva al precedente incidente Coldcard

Thorn ha registrato circa 13,8 sweep sospetti per blocco Bitcoin, rispetto a 0,3 per blocco durante un periodo di controllo precedente all'incidente — un tasso quindi circa 45 volte superiore alla norma.

Anche la cronologia degli input corrispondeva alla precedente attività sospetta di Coldcard. Secondo Thorn, nessuno degli input delle transazioni precedeva il confine del firmware associato alla vulnerabilità. Nella sicurezza degli hardware wallet, un confine del firmware indica in genere il punto in cui un aggiornamento software ha modificato il modo in cui il dispositivo gestisce le chiavi private o firma le transazioni, il che significa che gli indirizzi creati o utilizzati solo prima di quel confine potrebbero non condividere la stessa esposizione.

Anche il pattern delle destinazioni era coerente. Quasi ogni transazione ha inviato fondi a un indirizzo separato e appena creato, con una sola destinazione che ha ricevuto due sweep. Invece di consolidare immediatamente i Bitcoin in un unico wallet di raccolta, le transazioni hanno distribuito i fondi su centinaia di indirizzi nuovi, rendendo il cluster meno evidente a colpo d'occhio.

Nel complesso, il forte aumento degli sweep, la corrispondenza nella cronologia degli input e l'uso ripetuto di nuove destinazioni hanno portato Thorn ad attribuire l'attività a un'altra ondata di vittime Coldcard. L'analisi non ha identificato chi controllasse gli indirizzi di ricezione né quanti singoli utenti fossero stati प्रभावित.

Alcune transazioni in sospeso potrebbero ancora essere sostituibili

Il totale di 388,9 BTC include transazioni già confermate e altre ancora in attesa nel mempool — l'area di attesa in cui le transazioni Bitcoin valide restano fino a quando un miner le include in un blocco.

Una transazione non confermata può ancora essere sostituibile quando segnala Replace-by-Fee, comunemente noto come RBF. Thorn ha affermato che le transazioni confermate nel cluster avevano segnalato l'opzione RBF prima di entrare in un blocco e che transazioni simili ancora in attesa di conferma potrebbero usare la stessa impostazione. RBF è una funzionalità standard di Bitcoin Core dal 2016 ed è attivata al momento della creazione della transazione, il che significa che non tutte le transazioni non confermate possono essere sostituite.

Il meccanismo RBF di Bitcoin consente di sostituire una transazione non confermata con un'altra che spende gli stessi coin con una commissione più alta. Un proprietario colpito che controlli ancora le relative chiavi private potrebbe quindi riuscire a reindirizzare i Bitcoin verso un wallet sicuro emettendo una sostituzione valida con una commissione superiore a quella della transazione dell'attaccante.

Il recupero non è però garantito. La sostituzione deve rispettare le policy di transazione di Bitcoin, l'attaccante può a sua volta aumentare la commissione e l'opportunità termina una volta confermata la transazione non autorizzata.

I trasferimenti di secondo hop chiudono la finestra RBF

Thorn ha rilevato che parte dei Bitcoin si era già spostata dagli indirizzi di destinazione iniziali verso wallet di secondo hop. Un indirizzo di primo hop riceve lo sweep originale; un secondo hop si verifica quando i Bitcoin vengono trasferiti di nuovo a un altro indirizzo.

Quel movimento indica che lo sweep originale è già stato confermato, eliminando la possibilità di sostituirlo tramite RBF. Replace-by-Fee può competere con una transazione ancora nel mempool, ma non può annullarne una già registrata sulla blockchain.

I Bitcoin restano tracciabili on-chain, anche se ulteriori trasferimenti possono dividerli tra altri indirizzi, combinarli con altri fondi o spostarli verso exchange e altri servizi. Il recupero può quindi dipendere dall'identificazione di tali servizi e dalla cooperazione dei loro operatori o delle autorità di pubblica sicurezza.

Cosa devono fare ora gli utenti Coldcard

Thorn ha esortato gli utenti ad agire rapidamente: "MOVE YOUR FUNDS OFF COLDCARD DEVICES ASAP AND USE HIGH TX FEES."

Gli utenti dovrebbero innanzitutto controllare la propria cronologia delle transazioni alla ricerca di pagamenti in uscita non autorizzati. Se una transazione sospetta rimane non confermata ed è contrassegnata come sostituibile, il proprietario potrebbe ancora essere in grado di emettere una transazione con commissione più alta che invii gli stessi Bitcoin a un wallet sicuro. Chi non ha familiarità con la procedura dovrebbe cercare assistenza urgente da un professionista fidato della sicurezza Bitcoin invece di sperimentare con i fondi interessati.

Eventuali Bitcoin rimanenti dovrebbero essere trasferiti a un nuovo wallet creato con nuove credenziali di sicurezza. Spostare i fondi verso un altro indirizzo generato dallo stesso seed potenzialmente compromesso non rimuoverebbe il rischio di fondo.

Gli utenti non dovrebbero mai fornire una seed phrase, una chiave privata, un backup del wallet o un PIN a chiunque offra assistenza per il recupero. Queste informazioni non sono necessarie per esaminare una transazione pubblica o determinare se sia ancora non confermata.

Se una transazione non autorizzata è già stata confermata, gli utenti dovrebbero conservare l'ID della transazione, i record del wallet e le informazioni rilevanti del dispositivo per tracciare, segnalare ed eventualmente facilitare indagini successive.

Avvertenza di sicurezza: non fornire mai una seed phrase, una chiave privata, un backup del wallet o un PIN a chiunque offra assistenza per il recupero. Gli utenti che affrontano una transazione non autorizzata non confermata dovrebbero cercare assistenza urgente da un professionista fidato della sicurezza Bitcoin.

Metodologia

L'articolo utilizza l'analisi on-chain del 3 agosto 2026 di Alex Thorn, che copre i blocchi Bitcoin 960,778–960,792. La stima in dollari moltiplica 388.92748828 BTC per il prezzo indicato di Bitcoin di 62,700 dollari. L'attribuzione dell'ondata rappresenta la valutazione di Thorn e non deve essere trattata come una conclusione definitiva di Coinkite, delle forze dell'ordine o di un'indagine forense indipendente.