Una falla del firmware in Coldcard, l'hardware wallet Bitcoin ampiamente utilizzato prodotto da Coinkite e a lungo preferito dagli appassionati di Bitcoin per il suo design air-gapped, ha consentito agli aggressori di sottrarre quasi 600 bitcoin per un valore di circa $38 milioni, segnando uno dei più significativi fallimenti della self-custody di Bitcoin fino a oggi e sollevando domande urgenti sul fatto che la gestione delle chiavi private sia diventata troppo complessa per gli investitori comuni.

La vulnerabilità, che è stata successivamente corretta, ha permesso agli aggressori di ricreare le recovery phrase dei wallet a partire da seed generati su versioni del firmware interessate. I ricercatori di sicurezza hanno determinato che alcune release del firmware producevano seed dei wallet usando una randomness molto inferiore a quella prevista, rendendoli vulnerabili ad attacchi brute-force. Secondo lo standard BIP39 che regola le recovery phrase, un'entropia sufficiente è ciò che rende praticamente impossibile indovinare una seed phrase; quando tale randomness si degrada, l'intero modello di sicurezza crolla. Sebbene la correzione protegga i seed appena generati da questo momento in poi, non può mettere in sicurezza i seed già creati su firmware vulnerabile: ciò significa che gli utenti colpiti devono generare wallet completamente nuovi e trasferire i propri fondi.

'Spostate subito i vostri fondi'

In una lettera aperta, il CEO di Coinkite NVK ha rivolto agli utenti un invito netto: "If you generated a seed using a Coldcard wallet, move your funds now, using our updated best practices, before reading further." Ha sottolineato che, pur mettendo in sicurezza i nuovi seed, la correzione non risolve i seed già generati su firmware compromesso.

Le conseguenze hanno scosso la fiducia in un principio da sempre centrale nell'attrattiva di Bitcoin: l'idea che gli investitori non debbano affidarsi a banche o exchange per proteggere il proprio patrimonio. Il commentatore di Bitcoin Guy Swann ha descritto l'episodio come particolarmente dannoso per i membri della comunità più attenti alla sicurezza.

"This is the worst hit in bitcoin history to the most knowledgeable and 'properly secured' bitcoiners," ha detto Swann. "This isn't an exchange getting hacked because of hot keys. This is thousands of individuals having their personal private keys recreated out from underneath them."

Scambiare un rischio per un altro

Per anni, gli sostenitori di Bitcoin hanno difeso la self-custody come un modo per eliminare il rischio di controparte associato agli exchange centralizzati, una posizione rafforzata da crolli come quello di FTX. Ora gli analisti sostengono che gli utenti abbiano di fatto sostituito una categoria di rischio con un'altra. L'episodio di Coldcard non è il primo a mettere alla prova la fiducia negli hardware wallet; nel 2023, Ledger ha affrontato una reazione negativa della comunità per il suo servizio opzionale di recupero dei seed in abbonamento, che i critici temevano potesse introdurre una backdoor alle chiavi private — una controversia che, pur distinta sul piano tecnico, ha comunque eroso la fiducia nell'idea che i dispositivi hardware mantengano i segreti veramente offline.

"The self-custodial hardware space is a disaster at this point and creates more bad rep for the industry than anything else," ha detto Lorenzo Valente, direttore della ricerca sugli asset digitali di ARK Invest (post su X).

"In practice, consumers have traded counterparty risk for software risk, hardware risk, supply-chain risk, phishing risk, backup risk, and the possibility of losing everything through one mistake," ha detto Valente. "Frankly, you are better off today holding funds across several publicly-traded exchanges or ETFs."

Anche la correzione raccomandata ha suscitato critiche. Coinkite ha consigliato agli utenti di integrare la randomness generata dal wallet con lanci di dadi fisici — una proposta che il CEO di Casa Nick Neuman ha definito poco pratica.

"You just can't ask people to roll dice to be secure with your self custody," ha detto Neuman. "It's a non-starter for 99% of people."

La sicurezza non è più passiva

L'episodio evidenzia anche quanto rapidamente stia cambiando il panorama della cybersecurity, soprattutto perché l'intelligenza artificiale riduce i costi e lo sforzo necessari per individuare vulnerabilità software.

"The idea of your bitcoin resting easy in some secret location while you enjoy life not worrying about it is currently unrealistic," ha scritto su X lo sviluppatore di Taproot Udi Wertheimer. Ha sostenuto che i possessori di Bitcoin debbano ormai monitorare costantemente le nuove minacce oppure affidarsi a custodi professionali con team di sicurezza dedicati.

"If you don't want to worry yourself you need to pay someone else to be worried," ha detto Wertheimer.

L'exploit di Coldcard si inserisce inoltre in un trend più ampio degli attacchi nel settore crypto. Secondo la società di sicurezza blockchain Blockaid, la maggior parte delle perdite nella prima metà del 2026 non è derivata da hack di smart contract, ma da chiavi compromesse e da fallimenti della sicurezza operativa.

"Coldcard fits that pattern, with the exposure originating at the key generation stage," ha detto Ido Ben-Natan, cofondatore e CEO di Blockaid. Ha affermato che l'episodio mette in luce quanto gli utenti dipendano da sistemi di sicurezza con cui non interagiscono mai direttamente.

"A hardware wallet's security ultimately comes down to the firmware and systems users interact with but never see," ha detto Ben-Natan. "That means safeguards have to be built in upstream, before a user ever takes control of their assets."

I produttori di hardware wallet sostengono che l'episodio evidenzi l'importanza di una progettazione sicura, più che un difetto della self-custody in sé.

"This incident is a good example of why open-source firmware should not automatically be equated with better security," ha detto Andrew Lazutkin, chief technology officer di Tangem. "Ultimately, security comes from strong architecture, thorough testing and independent verification."

Un impulso per il Bitcoin istituzionale

L'exploit potrebbe anche rafforzare la tesi a favore della custodia istituzionale in un momento in cui gli ETF spot su Bitcoin stanno attirando investitori mainstream.

David Lawrence, cofondatore di Amicus, ha detto che episodi come quello di Coldcard probabilmente spingeranno i nuovi investitori verso prodotti regolamentati come l'iShares Bitcoin Trust (IBIT) di BlackRock, invece di gestire da soli le chiavi private.

"This is also another win for 'Big Bitcoin,'" ha detto Lawrence, aggiungendo che, dopo episodi come questo, i nuovi investitori interessati a detenere bitcoin potrebbero dire: "I'm safer to just buy IBIT.'"

Ha sostenuto che l'episodio potrebbe segnare un punto di svolta per uno degli ideali più antichi di Bitcoin.

"This is hugely damaging to the people who believe that 8 billion people will hold their Bitcoin in cold storage in the future," ha detto Lawrence. "That dream is over. Done."

1 Counting down the days: State of Crypto 7 minutes ago

2 Why a DeFi platform ditched its consumer app to become the secret backend for tech giants 1 hour ago

3 The future of crypto payments won't include on-ramps or bridges, Fun CEO says 2 hours ago

4 The reverse bridge: Crypto meets Wall Street using perps 5 hours ago

5 Unlike the FTX collapse, the $89 million Coldcard exploit has investors sending bitcoin back to exchanges 6 hours ago

6 Strategy holds STRC dividend at 12% 20 hours ago

7 Bitcoin cold-wallet attack spreads to 4,500 addresses as losses near $89 million 22 hours ago

8 Tokenized stock trading surged 288% in July, but one QQQ token drove most of it Aug 1, 2026

9 Bank of Italy research suggests stablecoins aren't necessarily cheaper for remittances Aug 1, 2026

10 SEC to review Nasdaq bitcoin options approval after CME challenge Aug 1, 2026

The Evolution of the Crypto CEX Landscape: A Case Study on Binance

The Evolution of the Crypto CEX Landscape: A Case Study on Binance

Binance remains crypto’s leading exchange, expanding from spot and derivatives into RWAs, payments, savings, yield, and broader financial services.

Binance remains crypto’s leading exchange, expanding from spot and derivatives into RWAs, payments, savings, yield, and broader financial services.

Why it matters :

Binance remains crypto’s leading exchange, expanding from spot and derivatives into RWAs, payments, savings, yield, and broader financial services.