L’exploit di Coldcard sottrae 38 milioni di dollari in Bitcoin, scuotendo la fiducia nella self-custody in un contesto di pressione più ampia sui mercati
Punti chiave
- •Un difetto nella generazione del seed casuale di Coldcard ha permesso agli aggressori di ricostruire matematicamente le chiavi private degli utenti senza accesso fisico al dispositivo, sottraendo circa 600 BTC per un valore di circa $38 milioni.
- •Coinkite ha distribuito una hotfix che protegge i nuovi seed in avanti, ma i seed già generati su firmware vulnerabile restano a rischio, e il CEO ha invitato a trasferire subito i fondi.
- •La presa di posizione più dura di Trump sull’Iran durante una riunione di gabinetto a Camp David ha invertito il tono conciliante precedente e contribuito a un rialzo dell’1,4% del petrolio WTI a $84,77 al barile.
- •Il core PCE, l’indicatore d’inflazione preferito dalla Federal Reserve, è salito del 3,3% su base annua a giugno, restando sopra il target del 2% per il 64° mese consecutivo e sostenendo la pressione al rialzo sui rendimenti dei Treasury.
- •La Bank of Japan ha mantenuto il tasso di riferimento all’1%, mentre Ueda ha indicato la domanda di AI e la debolezza dello yen come fattori che dovrebbero spingere l’inflazione sopra il 2% più avanti nell’anno fiscale.

Il presidente Trump assume una linea dura sull’Iran nella riunione di gabinetto
"Li colpiremo molto duramente", ha dichiarato il presidente Trump in una riunione di gabinetto tenuta a Camp David. "E sai, a un certo punto diranno: 'Non ce la facciamo più'."
Le dichiarazioni contrastano nettamente con quelle di Trump all’inizio della settimana, quando aveva fatto riferimento a "negoziati molto amichevoli". Il petrolio WTI è salito dell’1,4% nella giornata a $84,77, rimbalzando da un calo di metà settimana a $76 e tornando ora sostanzialmente in linea con il livello di venerdì scorso. I rendimenti obbligazionari hanno continuato a salire, con il rendimento del Treasury a 10 anni in aumento di altri sette punti base oggi al 4,73%, il livello più alto dalla fine del 2024. L’inasprimento della retorica si somma a un contesto più ampio di avversione al rischio — inflazione persistente, rendimenti dei titoli di Stato in rialzo e rinnovata incertezza in Medio Oriente — che ha pesato su bitcoin e altri asset rischiosi per tutta la settimana.
"Trasferite i vostri fondi ora": il CEO di Coldcard risponde all’exploit del wallet
Gli hardware wallet come Coldcard sono progettati specificamente per mantenere le chiavi private offline e fuori dalla portata di aggressori remoti — il fondamento della loro reputazione come modo più sicuro per la self-custody delle criptovalute. L’exploit ha infranto questa assunzione: una vulnerabilità nel modo in cui il dispositivo generava il seed casuale ha permesso agli aggressori di ricostruire matematicamente le chiavi private degli utenti senza mai accedere fisicamente al dispositivo. Il difetto riguarda l’implementazione del wallet, non la crittografia sottostante di Bitcoin, ma questa distinzione offre scarso conforto a chi ha visto i propri fondi svanire in pochi minuti.
"Mi dispiace e sono devastato", ha scritto Rodolfo Novak (@nvk), co-fondatore e CEO di Coinkite, l’azienda che produce il wallet Coldcard. "Il nostro team è affranto per le notizie di ieri."
"Se avete generato un seed usando un wallet Coldcard, trasferite subito i vostri fondi, usando le nostre best practice aggiornate, prima di proseguire nella lettura", ha continuato.
Coinkite ha distribuito una hotfix che proteggerà i nuovi seed d’ora in avanti, ha detto NVK, ma questo non risolve i seed già generati su firmware vulnerabile.
"Crediamo che questa sia una realtà sobria del nuovo paradigma dell’AI", ha scritto NVK. "La revisione del codice assistita dall’AI può ora individuare bug latenti a una velocità che supera persino gli esperti più esperti del settore. Se il vostro firmware è open source o è mai stato pubblico, presumete che sia già stato letto sia da aggressori sia da difensori."
Dopo l’exploit di Coldcard entrano nel dibattito i paragoni con Mt. Gox
La quantità di bitcoin (BTC) persa finora è relativamente ridotta — circa 600 coin per un valore di circa $38 milioni — ma il colpo psicologico all’industria Bitcoin ha richiamato paragoni ben più ampi.
Mt. Gox, in cui nel 2014 andarono persi 850.000 bitcoin, fu un exploit di un exchange e per anni venne usato come esempio numero uno dai maximalist di bitcoin per sostenere che tutti dovessero spostare i propri coin fuori dagli exchange e nella self-custody in cold storage. Con una vulnerabilità ora scoperta e sfruttata in Coldcard — uno dei prodotti di cold storage più rispettati sul mercato — alcuni ritengono che il settore stia affrontando un altro momento Mt. Gox.
"Non è iperbolico, ma questo evento è peggiore di Mt. Gox, colpendo i più responsabili e consapevoli tra noi", ha scritto Jessy Gilger.
"Ciò che FTX e Mt Gox avevano fatto per promuovere la self-custody è stato annullato da Coinkite e Coldcard", ha scritto Taylor Distler. "Temo che questa vulnerabilità di Coldcard farà più danni alla self-custody di qualunque altra cosa abbiamo visto … Gli ETF e le soluzioni di custodia assicurata vedranno una forte crescita e, per chi non è tecnico, questo danneggia la reputazione di Bitcoin."
L’evento Mt. Gox fu il catalizzatore di un crollo di circa l’80% del prezzo di bitcoin nelle settimane successive. Bitcoin è sceso del 3% mentre le implicazioni dell’exploit di Coldcard diventavano chiare nelle ultime 12 ore, ma non è chiaro se il ribasso sia direttamente dovuto a questo evento.
L’AI accelera le vulnerabilità dei wallet, secondo il CTO di Trezor
"La casualità è il fondamento su cui poggia tutto il resto in un hardware wallet", ha scritto il CTO di Trezor Tomas Susanka. "Sbagliare qui significa che nient’altro conta. Né l’elemento sicuro, né l’air-gap, né il backup in metallo."
"Una debole entropia durante l’inizializzazione = fondi svuotati 'da remoto'", ha continuato. "Non serve accesso al dispositivo, l’aggressore deve solo ricalcolare le tue chiavi."
"Le persone pensano che il loro wallet abbia generato qualcosa di davvero casuale, ma non è così", ha aggiunto Susanka. "Chiunque conosca il pattern può risalire indietro e ricreare le chiavi private, e l’AI sta sicuramente accelerando tutto questo. Nei nostri build usiamo protezioni dedicate per assicurarci che ciò non possa mai accadere."
"Il colpo peggiore nella storia di Bitcoin": le reazioni del settore al difetto di Coldcard
"Questo è il colpo peggiore nella storia di Bitcoin per i Bitcoiners più informati e 'adeguatamente protetti'", ha detto Guy Swann. "Non si tratta di un exchange violato perché qualcuno ha trovato le chiavi. Si tratta di migliaia di individui a cui vengono ricreate da sotto le mani le proprie chiavi private personali. Questo fa male in modo diverso."
Major bitcoin wallet flaw drains $38 million worth of BTC in 25-minute sweep
"Le persone colpite da questo hanno fatto tutto nel modo giusto — hanno studiato Bitcoin, preso le giuste precauzioni, separato il proprio denaro dallo Stato, investito in un hardware wallet e ora si svegliano alla realtà che i risparmi di una vita sono svaniti", ha scritto David Lawrence. "Questo è estremamente dannoso per chi crede che in futuro 8 miliardi di persone terranno i propri bitcoin in cold storage. Quel sogno è finito. Finito."
"Nessuna quantità di entropia o di casualità matematica può criptare il futuro", ha detto Charlie Shrem.
"Un aspetto spiacevole del lavorare nella sicurezza è che i vostri avvertimenti 'paranoici' tendono a cadere nel vuoto finché non colpisce la catastrofe", ha detto Jameson Lopp. "Su un orizzonte temporale abbastanza lungo, le cose brutte tendono ad accadere. Se i risparmi di una vita sono in gioco, è meglio mitigare ogni caso limite."
"L’aggressore sembra essere un principiante", ha scritto Miles Suter di Block. "Sorprende che attacchi più sofisticati non siano ancora aumentati ora che l’ambito delle vulnerabilità è pubblico. A mio avviso restano necessarie urgenza ed estrema cautela."
Bitcoin scende sotto i $63.000 mentre i titoli USA rinunciano ai guadagni iniziali
Dopo aver trattato decisamente in rialzo nel pre-market, le azioni statunitensi hanno invertito la rotta nelle prime contrattazioni di venerdì mattina, con il Nasdaq passato da un guadagno di circa l’1% a un calo dello 0,4%. Già sotto pressione, bitcoin (BTC) è arretrato al livello più debole della settimana, ora in calo del 3,2% nelle ultime 24 ore a $62,600.
Dopo una breve tregua giovedì, i tassi sono tornati a salire, con il Treasury a 30 anni in rialzo di cinque punti base fino a sfiorare il massimo di quasi due decenni del 5,26%. Il rendimento a 2 anni è salito di sei punti base al 4,29%.
Nonostante un calo dell’8% di Apple dopo i risultati, il Nasdaq sembra pronto ad aggiungere altro al rialzo di quasi il 3% di giovedì. A bilanciare il forte ribasso di Apple, Amazon è salita dell’11,6% dopo aver superato le stime sugli utili e fornito guidance migliore del previsto. I futures del Nasdaq 100 sono in rialzo dell’1,2% circa due ore prima dell’apertura dei mercati azionari statunitensi. I mercati crypto, tuttavia, sono ampiamente in calo, con bitcoin in ribasso dell’1% nelle ultime 24 ore a $63,900 ed ether (ETH) in calo dell’1,7% a $1,884. Il petrolio WTI è tornato vicino al massimo della settimana, appena sotto i $85 al barile, mentre i trader sembrano posizionarsi long in vista del weekend e di possibili escalation in Medio Oriente. Anche i rendimenti obbligazionari sono tornati a salire, con il Treasury USA a 30 anni di nuovo vicino a un massimo di 19 anni al 5,22%.
"Apatia da bear market": la volatilità di Bitcoin si avvicina ai minimi storici
"La volatilità implicita di bitcoin si sta avvicinando ai livelli più bassi mai registrati", ha scritto Will Clemente venerdì mattina.
La volatilità settimanale, ha detto, si sta avvicinando al 30%, circa un terzo del livello visto in asset "caldi" come il Kospi sudcoreano, che è balzato dell’18% durante la notte ma resta in calo nella settimana. Allo stesso tempo, ha osservato Clemente, i volumi di scambio sono ai minimi pluriennali.
"Classica apatia da bear market."
L’indicatore d’inflazione preferito dalla Fed resta sopra il target del 2% per il 64° mese consecutivo
La Federal Reserve continua a ribadire a ogni riunione il proprio impegno a riportare l’inflazione al 2%, ma i progressi restano elusive. I dati pubblicati giovedì hanno mostrato che la misura d’inflazione preferita dalla Fed, il core PCE, è salita del 3,3% su base annua a giugno. Sebbene il dato segnali un lieve calo rispetto al 3,4% di maggio, resta ben al di sopra dell’obiettivo del 2%. Questa lunga fase di inflazione sopra target spiega perché i rendimenti obbligazionari restino elevati, indebolendo la tesi rialzista per gli asset rischiosi, comprese le criptovalute.
Bitcoin si stabilizza vicino a $64.000 mentre la BOJ lascia i tassi fermi all’1%
Venerdì bitcoin ha trattato vicino a $63,900, sostanzialmente piatto, mentre la Bank of Japan ha lasciato il tasso di riferimento all’1% e il tentativo del governatore Kazuo Ueda di assumere un tono più aggressivo è stato accolto con tiepidezza dai mercati. Lo yen ha annullato il movimento durante la conferenza stampa, e il cambio dollaro-yen è tornato al punto di partenza, dato che i trader avevano già prezzato un’elevata probabilità di un rialzo a ottobre.
Ueda ha detto che l’inflazione dovrebbe salire sopra il 2% più avanti in questo anno fiscale e ha indicato la domanda legata all’AI e la debolezza dello yen come fattori che spingeranno i prezzi al rialzo, gli stessi due elementi che hanno modellato per tutto il mese lo sfondo macro di crypto. Uno yen debole ha alimentato il carry trade che convoglia denaro verso gli asset rischiosi, e il ciclo di investimento nell’AI è il trade che bitcoin ha seguito da vicino.
Il mercato più ampio è rimasto tranquillo. Ether ha mantenuto livelli vicini a $1,885, mentre BNB ha proseguito la sua corsa come principale token tra i grandi, in rialzo del 3,5% nella giornata e del 4,4% nella settimana a circa $591, secondo i dati di CoinDesk.