Gli utenti del wallet di autocustodia Bitcoin Coldcard hanno subito perdite significative dopo che gruppi di hacker hanno sfruttato una vulnerabilità software negli ultimi giorni. Le stime di settore indicano che approssimativamente 1.400-1.816 bitcoin — valutati a circa 90-116 milioni di dollari — sono stati sottratti da oltre 5.200 wallet colpiti. Coldcard, prodotto dall'azienda canadese Coinkite, è un wallet hardware — un dispositivo fisico progettato per mantenere le chiavi private offline, una categoria ampiamente considerata tra le forme più sicure di autocustodia. L'incidente assume quindi un peso particolare, poiché dimostra che anche l'hardware isolato fisicamente (air-gapped) può essere compromesso quando il suo software interno contiene difetti. L'evento rappresenta un contrattempo significativo per l'autocustodia Bitcoin, una pratica ampiamente considerata essenziale per la resilienza a lungo termine e la decentralizzazione della rete Bitcoin.

Secondo l'analisi di Grayscale, tuttavia, diversi fattori suggeriscono che l'impatto potrebbe essere più contenuto di quanto le prime notizie lascino intendere, e che il caso di investimento più ampio per Bitcoin rimane largamente inalterato.

Il protocollo Bitcoin non è stato compromesso

In primo luogo, la blockchain Bitcoin stessa non è stata compromessa. La vulnerabilità era limitata al software specifico del wallet Coldcard e non ha interessato la crittografia sottostante o i meccanismi di consenso di Bitcoin, che non hanno mai subìto una violazione di sicurezza duratura e di successo. Questa distinzione è fondamentale: l'incidente riflette un difetto di software di terze parti piuttosto che una debolezza intrinseca del protocollo. Sottolinea inoltre una tensione di lunga data nell'ecosistema crypto: i singoli fornitori di wallet operano in modo indipendente rispetto al protocollo stesso, il che significa che la sicurezza dei fondi degli utenti dipende fortemente dalle pratiche di ingegneria e dai processi di revisione del codice di ciascun fornitore.

In secondo luogo, la tendenza generale delle perdite per crimini informatici nel settore crypto è stata in calo. I dati di settore proiettano perdite totali di circa 1,7 miliardi di dollari per l'anno in corso — il totale annuo più basso in nove anni e approssimativamente lo 0,1% della capitalizzazione di mercato aggregata delle criptovalute — indicando un miglioramento delle pratiche di sicurezza in tutto il settore.

In terzo luogo, gli investitori che cercano esposizione al Bitcoin senza assumere la complessità e i rischi dell'autocustodia dispongono di opzioni alternative consolidate. I prodotti scambiati in borsa su Bitcoin utilizzano accordi di custodia istituzionale che tipicamente incorporano archiviazione offline segregata, wallet multi-firma, attestazioni SOC e coperture assicurative. Queste strutture possono attrarre sia i partecipanti istituzionali sia gli investitori individuali che preferiscono evitare l'onere operativo di gestire direttamente le chiavi private.

Pur rimanendo sicura sia la blockchain stessa sia le attività detenute in veicoli commingled, esaminare i meccanismi della violazione e il suo contesto più ampio è essenziale per comprenderne le implicazioni per il panorama della custodia.

Causa tecnica principale e progressione dell'attacco

L'incidente risale a un aggiornamento software del 2021 che ha modificato il modo in cui i dispositivi Coldcard generavano le frasi di recupero del wallet. Invece di impiegare una casualità robusta e imprevedibile, l'aggiornamento ha introdotto un processo di scorciatoia con un pattern per la generazione dei seed. Le frasi di recupero — sequenze di parole che fungono da chiave master per un wallet — dipendono dalla qualità della casualità per la loro sicurezza; la specifica BIP39, standard di settore, richiede un'entropia sufficiente proprio perché i seed prevedibili possono essere riprodotti da chiunque. Una volta identificato questo comportamento deterministico, gli attaccanti sono stati in grado di replicare il processo computazionalmente, generare frasi di recupero candidate su larga scala e confrontarle con i wallet attivi — interamente senza accesso fisico al dispositivo, sconfiggendo così il modello di sicurezza offline su cui si fondano i wallet hardware.

Coinkite ha da allora emesso un avviso urgente invitando gli utenti interessati a trasferire immediatamente i fondi detenuti.

L'attacco si è sviluppato in quattro ondate distinte a partire dal 30 luglio. Gli investigatori della blockchain hanno mappato il primo prelievo, in cui oltre 1.000 indirizzi sono stati svuotati in una finestra di 41 minuti. Una successiva scansione ha estratto quasi 600 bitcoin in 25 minuti. Ulteriori ondate sono seguite durante il fine settimana e fino a lunedì. I perpetratori rimangono non identificati e nessun attore sostenuto da uno Stato è stato collegato all'operazione.

Panorama di sicurezza più ampio

L'incidente si inserisce in un contesto più ampio di frequenza elevata di attacchi. Le analisi della blockchain hanno registrato 207 incidenti di sicurezza separati nel primo semestre dell'anno — il conteggio semestrale più alto mai registrato. Tuttavia, i fondi totali sottratti sono diminuiti bruscamente a circa 972 milioni di dollari, meno della metà dei 2,3 miliardi di dollari persi nello stesso periodo del 2025, suggerendo che, sebbene gli attacchi siano diventati più numerosi, le perdite medie per singolo incidente sono diminuite.

La violazione ha intensificato il dibattito in corso tra i detentori riguardo ai compromessi tra autocustodia e soluzioni di terze parti. Alcuni partecipanti hanno indicato uno spostamento verso piattaforme centralizzate e veicoli istituzionali che offrono maggiori tutele, mentre altri sostengono che il controllo diretto rimanga preferibile nonostante l'aggiunta di responsabilità operative. L'incidente è inoltre destinato ad accentuare la scrutiny su come i produttori di wallet implementano e verificano la casualità nella generazione dei seed — un dettaglio difficile da verificare in modo indipendente per gli utenti finali.

La reazione del mercato all'evento è stata contenuta, con Bitcoin ed Ethereum entrambi in calo di meno dell'uno per cento da quando l'incidente è diventato pubblico.