Galaxy Research ha identificato 1.196 indirizzi Bitcoin svuotati di 1.082,65 BTC — del valore di circa 70,2 milioni di dollari — durante una finestra di 41 minuti il 30 luglio. Secondo l'azienda, le transazioni hanno avuto luogo tra le 01:10:20 UTC e le 01:51:26 UTC in sei blocchi Bitcoin, prima che Coinkite divulghasse pubblicamente una vulnerabilità del firmware che colpiva determinati wallet hardware Coldcard. Coldcard, prodotto da Coinkite, è un wallet hardware dedicato esclusivamente a Bitcoin progettato per il funzionamento air-gapped, una caratteristica che lo ha reso popolare tra gli utenti di autocustodia che privilegiano l'isolamento delle chiavi. Galaxy Research ha riferito di non aver trovato ulteriori transazioni corrispondenti nei 30 giorni precedenti.

Il pattern onchain ha collegato le transazioni

Galaxy Research ha riscontrato che ogni transazione pagava la stessa commissione di rete di 30,0 sat/vB e non produceva alcun output di resto. I ricercatori hanno affermato che tale commissione fissa distingueva l'attività dalle normali consolidazioni Bitcoin e indicava un singolo operatore automatizzato.

Il rapporto ha evidenziato che 1.183 indirizzi native SegWit, sette indirizzi BIP-49 e sei indirizzi BIP-44 sono stati svuotati — coprendo tre distinti standard di derivazione degli indirizzi Bitcoin utilizzati across diverse generazioni di wallet. Galaxy Research ha dichiarato che tale distribuzione era coerente con una scansione automatizzata su percorsi di derivazione multipli.

I ricercatori hanno inoltre notato che le transazioni apparivano in gruppi anziché in modo continuo. Tre blocchi intermedi non contenevano alcuna attività di sweep durante il periodo di 41 minuti. Galaxy Research ha identificato quattro indirizzi Bitcoin che hanno ricevuto i fondi rubati, aggiungendo che tali giacenze non sono state mosse dal consolidamento iniziale.

Il bug del firmware ha provocato una risposta di emergenza

Coinkite ha inizialmente segnalato agli utenti un problema che colpiva i seed generati sui dispositivi Coldcard Mk3 con firmware versione 4.0.1 e successive. Le vulnerabilità nella generazione dei seed rientrano tra le classi più gravi di difetti nei wallet hardware perché possono compromettere la casualità crittografica alla base delle chiavi private, consentendo potenzialmente a un utente malintenzionato di ricreare i wallet senza accesso fisico al dispositivo. L'azienda ha successivamente ampliato l'avviso per includere alcune versioni del firmware di Mk4, Mk5 e Coldcard Q, rilasciando aggiornamenti di firmware di emergenza.

L'amministratore delegato di Coinkite, Rodolfo Novak, ha assunto la responsabilità del bug del firmware e si è scusato con gli utenti. Ha dichiarato che il processo di revisione dell'azienda non era riuscito a rilevare il problema prima del rilascio. Novak ha inoltre suggerito che l'intelligenza artificiale avrebbe potuto contribuire a scoprire la vulnerabilità, osservando che la revisione del codice assistita dall'IA può identificare le debolezze software più rapidamente rispetto alle revisioni manuali tradizionali.

I ricercatori avvertono che ulteriori attacchi restano possibili

Galaxy Research ha avvertito che futuri attacchi restano possibili se gli utenti mantengono i fondi negli indirizzi Coldcard a firma singola interessati. I wallet a firma singola richiedono una sola chiave privata per autorizzare le transazioni, il che significa che un seed compromesso da solo è sufficiente perché un utente malintenzionato possa sweepare i fondi. Tuttavia, l'azienda ha sottolineato che incidenti successivi potrebbero non seguire lo stesso pattern di transazione onchain.

Secondo Galaxy Research, il pattern identificabile collega solo l'utente malintenzionato iniziale. Non consente di rilevare furti futuri, poiché quelle transazioni potrebbero apparire identiche a normali trasferimenti di wallet.

L'azienda ha esortato gli utenti a trasferire i fondi in servizi di custodia affidabili o in configurazioni di autocustodia multifirma, che richiedono molteplici chiavi generate in modo indipendente per autorizzare qualsiasi transazione. Coinkite ha inoltre consigliato agli utenti di installare il firmware aggiornato, generare un nuovo seed, testare il wallet con un piccolo trasferimento e conservare i vecchi backup fino al completamento della migrazione.