Gli hacker continuano a prosciugare i fondi dai wallet Coldcard per Bitcoin, con perdite totali ormai stimate oltre i 114 milioni di dollari, rendendo questa una delle più grandi compromissioni di wallet hardware nella storia di Bitcoin.

Una quarta ondata di attacchi è probabilmente iniziata la domenica sera, secondo Alex Thorn di Galaxy Research. In un post pubblicato intorno alle 19:50 ora di New York, Thorn ha riferito che 388,9 Bitcoin — per un valore superiore a 29 milioni di dollari — erano stati trasferiti in nuove transazioni valutate come altamente probabili connessioni con il furto in corso.

Gli attacchi sono emersi per la prima volta giovedì, quando gli hacker hanno sottratto oltre 35 milioni di dollari in Bitcoin dai wallet interessati. Coinkite, produttrice di Coldcard, ha attribuito la vulnerabilità a un bug del firmware nei dispositivi Coldcard Mk3 risalente alla versione 4.0.1, rilasciata a marzo 2021. Il bug causava il fallback della generazione del seed a un generatore di numeri pseudocasuali software debole invece del generatore di numeri casuali hardware vero, consentendo di fatto agli attaccanti di indovinare le frasi seed degli utenti. Poiché le frasi seed fungevano da chiave master per un wallet Bitcoin in autocustodia — chiunque le ottenga può spendere i fondi senza il dispositivo fisico — la falla aggirava di fatto la promessa di sicurezza fondamentale del cold storage.

L'origine della vulnerabilità in una versione di firmware dell'inizio del 2021 significa che i wallet creati sui dispositivi interessati nel corso di un periodo di anni potrebbero avere seed compromessi.

Il furto è persistito per tutto il fine settimana mentre Coinkite e altri membri della comunità Bitcoin esortavano gli utenti di Coldcard a trasferire immediatamente i propri fondi.

Pubblicando su X lunedì, Josef Tětek di Trezor ha segnalato che la singola transazione più grande nel furto in corso fino ad ora riguardava 51 Bitcoin.

The biggest drained address (so far) is 51 BTC. Damn. Imagine owning 50+ btc in cold storage and losing it all. Must be absolutely crushing. pic.twitter.com/qu6CiQOjeV — Josef Tětek (@JosefTetek) August 3, 2026

In seguito a ulteriori furti, Coinkite ha riconosciuto che tutti i suoi modelli erano vulnerabili. Gli ingegneri hanno avvertito che ogni indirizzo Bitcoin associato a Coldcard potrebbe eventualmente essere a rischio.

Domenica, l'azienda ha dichiarato di stare affrontando «domande difficili sulla nostra azienda».

«Gli ultimi tre giorni sono stati tra i più difficili nella storia di questa azienda, e per molte delle persone che leggono, sono stati qualcosa di molto peggio», ha dichiarato Coinkite. «Risparmi accumulati in anni di lavoro, svaniti. Fiducia costruita in anni di impegno, infranta. quell'impatto è reale, e per alcuni il danno è permanente».

Coinkite ha inoltre confermato di aver distrutto le rimanenti scorte di Coldcard prodotte con il firmware vulnerabile e che tutte le spedizioni del prodotto sono state sospese. L'azienda produce una gamma di prodotti per Bitcoin, inclusi i suoi diffusi wallet hardware per cold storage.

Gli ingegneri della società di pagamenti Block hanno condotto un'indagine indipendente sull'hack. Hanno riferito che gli attaccanti si sono avvalsi di un importante provider di servizi blockchain per assistere nello spostamento dei fondi rubati. Block ha dichiarato di aver contattato sia il provider sia le autorità federali con i propri risultati. L'incidente sottolinea una sfida più ampia per l'industria dei wallet hardware, in cui l'integrità della generazione di numeri casuali a livello di produzione e firmware è fondamentale per la sicurezza degli utenti e in cui persino i dispositivi air-gapped sono affidabili solo quanto l'entropia alla base della creazione dei loro seed.